根据其自我报告的版本号，检测到的 WordPress 应用程序受到多个漏洞的影响：

 - wp-admin/user-new.php 将 newbloguser 密钥设置为可直接从用户 ID 派生的字符串，从而允许远程攻击者通过输入此字符串来绕过预期的访问限制。

 - wp-includes/functions.php 未要求使用 unfiltered_html 功能上传 .js 文件，可能允许远程攻击者通过特制的文件进行 XSS 攻击。

 - wp-includes/general-template.php 未正确限制 HTML 元素的 lang 属性，可能允许攻击者通过网站的语言设置进行 XSS 攻击。

 - wp-includes/feed.php 未正确限制 RSS 和 Stom 字段中的内容，可能允许攻击者通过特制的 URL 进行 XSS 攻击。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，检测到的 WordPress 应用程序受到多个漏洞的影响：

 - 基于 MD5 的弱密码哈希算法使攻击者更容易通过利用访问哈希值来确定明文值。

 - 当未使用基于域的 flashmediaelement.swf 沙盒时，允许攻击者利用包含在 wp-includes/js/mediaelement/flashmediaelement.swf 文件中的代码发动跨域 Flash 注入 (XSF) 攻击。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，检测到的 WordPress 应用程序受到多个漏洞的影响：

 - $wpdb->prepare() 中存在一个缺陷，该缺陷可创建不安全的查询，从而可能导致插件和主题中出现 SQL 注入缺陷。

 - 由于未正确审查用户提供的输入，导致存在多个跨站脚本 (XSS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。

 - 文件解压缩代码和定制器中存在多个路径遍历漏洞。远程攻击者可以读取任意文件，这取决于 Web 服务器的运行特权。

 - 用户和术语编辑屏幕上存在公开重定向缺陷。远程攻击者可利用此漏洞，通过诱骗用户打开特别构建的链接将用户重定向到任意网站。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，检测到的 WordPress 应用程序受到多个漏洞的影响：

 - 由于未正确验证用户对文件名称提供的输入，便在错误消息中将其返回，在处理过大文件上载时，文件 wp-includes/js/plupload/handlers.js 的 uploadSizeError() 函数中存在基于 DOM 的跨站脚本 (XSS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过特别构建的请求在用户浏览器会话中执行任意脚本代码。(CVE-2017-9061)

 - 由于未正确验证用户提供的输入，在处理发帖元数据时，文件 wp-includes/class-wp-xmlrpc-server.php 的 set_custom_fields() 函数中存在缺陷。经过身份验证的远程攻击者可利用此问题，在未授权的情况下访问元数据。(CVE-2017-9062)

 - 由于未正确验证用户对博客名称提供的输入，便将其返回给用户，脚本文件 wp-admin/customize.php 中存在一个存储型跨站脚本 (XSS) 漏洞。经过身份验证的远程攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2017-9063)

 - 由于在执行某些敏感操作时无法要求多个步骤、明确确认或唯一标记，文件 /wp-admin/includes/file.php 的 request_filesystem_credentials() 函数中存在跨站请求伪造 (XSRF) 漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户跟踪特制链接，泄露用户凭据。(CVE-2017-9064)

 - 由于缺少功能检查，在处理发帖元数据时，XML-RPC API 中存在缺陷，尤其是在文件 wp-includes/class-wp-xmlrpc-server.php 的 _insert_post() 函数中。未经身份验证的远程攻击者可利用此问题操纵发帖，无需具备所需功能。(CVE-2017-9065)

 - 文件 wp-includes/class-http.php 中的 WP_Http：：request（） 函数存在缺陷，原因是用户提供的输入未正确验证。未经身份验证的远程攻击者可利用此问题，将用户重定向至攻击者选择的 URL。(CVE-2017-9066)

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根据其自我报告的版本号，检测到的 WordPress 应用程序受到多个漏洞的影响：

 - /wp-includes/media.php 脚本内的 wp_playlist_shortcode() 函数中存在一个跨站脚本 (XSS) 漏洞，这是由于未能验证通过音频文件元数据传送的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特别构建的请求在用户浏览器会话中执行任意脚本代码。(CVE-2017-6814)

 - 存在一个跨站重定向漏洞，这是由于未验证通过控制字符传递的输入即返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特制的链接，将用户从预定的合法网站重定向至攻击者选择的任意网站。(CVE-2017-6815)

 - 插件删除功能中存在不明缺陷，允许未经身份验证的远程攻击者删除非预期文件。(CVE-2017-6816)

 - 存在一个跨站脚本 (XSS) 漏洞，这是由于无法验证 YouTube 嵌入中视频 URL 的输入即将之返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特别构建的请求在用户浏览器会话中执行任意脚本代码。(CVE-2017-6817)

 - 存在一个跨站脚本 (XSS) 漏洞，这是由于无法验证分类术语名称的输入即将之返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特别构建的请求在用户浏览器会话中执行任意脚本代码。(CVE-2017-6818)

 - 由于在执行某些敏感操作时无法要求多个步骤、明确确认或唯一标记，在处理 HTTP 请求时，尤其是 /wp-admin/press-this.php 的 Press This 功能中存在跨站请求伪造 (XSRF) 漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户跟踪构建的链接，导致过度消耗服务器资源。(CVE-2017-6819)

 - /wp-includes/js/mediaelement/wp-playlist.min.js 脚本内的 renderTracks() 函数中存在一个 DOM 型跨站脚本 (XSS) 漏洞，这是由于未能验证通过音频文件元数据传送的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

ID	名称	严重性
98330	WordPress 3.7.x < 3.7.24 多个漏洞	high
98329	WordPress 3.8.x < 3.8.24 多个漏洞	high
98328	WordPress 3.9.x < 3.9.22 多个漏洞	high
98327	WordPress 4.0.x < 4.0.21 多个漏洞	high
98326	WordPress 4.1.x < 4.1.21 多个漏洞	high
98325	WordPress 4.2.x < 4.2.18 多个漏洞	high
98324	WordPress 4.3.x < 4.3.14 多个漏洞	high
98323	WordPress 4.4.x < 4.4.13 多个漏洞	high
98322	WordPress 4.5.x < 4.5.12 多个漏洞	high
98321	WordPress 4.6.x < 4.6.9 多个漏洞	high
98320	WordPress 4.7.x < 4.7.8 多个漏洞	high
98319	WordPress 4.8.x < 4.8.4 多个漏洞	high
98318	WordPress 4.9.x < 4.9.1 多个漏洞	high
98317	WordPress 3.7.x < 3.7.23 多个漏洞	critical
98316	WordPress 3.8.x < 3.8.23 多个漏洞	critical
98315	WordPress 3.9.x < 3.9.21 多个漏洞	critical
98314	WordPress 4.0.x < 4.0.20 多个漏洞	critical
98313	WordPress 4.1.x < 4.1.20 多个漏洞	critical
98312	WordPress 4.2.x < 4.2.17 多个漏洞	critical
98311	WordPress 4.3.x < 4.3.13 多个漏洞	critical
98310	WordPress 4.4.x < 4.4.12 多个漏洞	critical
98309	WordPress 4.5.x < 4.5.11 多个漏洞	critical
98308	WordPress 4.6.x < 4.6.8 多个漏洞	critical
98307	WordPress 4.7.x < 4.7.7 多个漏洞	critical
98306	WordPress 4.8.x < 4.8.3 多个漏洞	critical
98305	WordPress 3.7.x < 3.7.22 多个漏洞	critical
98304	WordPress 3.8.x < 3.8.22 多个漏洞	critical
98303	WordPress 3.9.x < 3.9.20 多个漏洞	critical
98302	WordPress 4.0.x < 4.0.19 多个漏洞	critical
98301	WordPress 4.1.x < 4.1.19 多个漏洞	critical
98300	WordPress 4.2.x < 4.2.16 多个漏洞	critical
98299	WordPress 4.3.x < 4.3.12 多个漏洞	critical
98298	WordPress 4.4.x < 4.4.11 多个漏洞	critical
98297	WordPress 4.5.x < 4.5.10 多个漏洞	critical
98296	WordPress 4.6.x < 4.6.7 多个漏洞	critical
98295	WordPress 4.7.x < 4.7.6 多个漏洞	critical
98294	WordPress 4.8.x < 4.8.2 多个漏洞	critical
98293	WordPress 3.7.x < 3.7.21 多个漏洞	high
98292	WordPress 3.8.x < 3.8.21 多个漏洞	high
98291	WordPress 3.9.x < 3.9.19 多个漏洞	high
98290	WordPress 4.0.x < 4.0.18 多个漏洞	high
98289	WordPress 4.1.x < 4.1.18 多个漏洞	high
98288	WordPress 4.2.x < 4.2.15 多个漏洞	high
98287	WordPress 4.3.x < 4.3.11 多个漏洞	high
98286	WordPress 4.4.x < 4.4.10 多个漏洞	high
98285	WordPress 4.5.x < 4.5.9 多个漏洞	high
98284	WordPress 4.6.x < 4.6.6 多个漏洞	high
98283	WordPress 4.7.x < 4.7.5 多个漏洞	high
98282	WordPress 3.7.x < 3.7.19 多个漏洞	medium
98281	WordPress 3.8.x < 3.8.19 多个漏洞	medium

检测

Web App Scanning 的 Component Vulnerability 系列

high

high

high

high

high

high

high

high

high

high

high

high

high

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

high

high

high

high

high

high

high

high

high

high

high

medium

medium