Multiple security issues have been discovered in Wordpress, a web blogging tool, resulting in denial of service or information disclosure. More information can be found in the upstream advisory at https://wordpress.org/news/2014/08/wordpress-3-9-2/.

複数のセキュリティ問題が、Web ブログツールの WordPress で見つかっています。これにより、サービス拒否または情報漏洩が発生します。詳細については、次の Upstream アドバイザリを参照してください：https://wordpress.org/news/2014/08/wordpress-3-9-2/

在 Web 部落格工具 Wordpress 中發現多個安全性問題，導致拒絕服務或資訊洩漏。如需詳細資訊，請參閱上游公告 https://wordpress.org/news/2014/08/wordpress-3-9-2/。

在 Wordpress（Web 博客工具）中发现多种安全问题，可导致拒绝服务和信息泄露。可在上游公告中找到更多详细信息：https://wordpress.org/news/2014/08/wordpress-3-9-2/。

According to its version number, the WordPress application hosted on the remote web server is affected by multiple vulnerabilities :

  - An XML injection flaw exists within 'getid3.lib.php'     due to the parser accepting XML external entities     from untrusted sources. Using specially crafted XML     data, a remote attacker could access sensitive     information or cause a denial of service. This affects     versions 3.6 - 3.9.1, except 3.7.4 and 3.8.4.

  - An XML injection flaw exists within 'xmlrpc.php' due to     the parser accepting XML internal entities without     properly validating them. Using specially crafted XML     data, a remote attacker could cause a denial of service.
    This affects versions 1.5 - 3.9.1, except 3.7.4 and     3.8.4.

  - An unsafe serialization flaw exists in the script     '/src/wp-includes/class-wp-customize-widgets.php' when     processing widgets. This could allow a remote attacker     to execute arbitrary code. Versions 3.9 and 3.9.1     non-default configurations are affected.

  - A flaw exists when building CSRF tokens due to it not     separating pieces by delimiter and not comparing nonces     in a time-constant manner. This could allow a remote     attacker to conduct a brute force attack and potentially     disclose the CSRF token. This affects versions 2.0.3 -     3.9.1, except 3.7.4 and 3.8.4.

  - A cross-site scripting flaw exists in the function     'get_avatar' within the '/src/wp-includes/pluggable.php'     script where input from the avatars is not validated     before returning it to the user. Using a specially     crafted request, an authenticated attacker could execute     arbitrary script code within the browser / server trust     relationship. This affects version 3.9.1.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Multiple security issues have been discovered in Wordpress, a web blogging tool, resulting in denial of service or information disclosure.

More information can be found in the upstream advisory at https://wordpress.org/news/2014/08/wordpress-3-9-2/

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

複数のセキュリティ問題が、Web ブログツールの WordPress で見つかっています。これにより、サービス拒否または情報漏洩が発生します。

詳細については、次の upstream アドバイザリを参照してください：https://wordpress.org/news/2014/08/wordpress-3-9-2/

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

そのバージョン番号によると、リモートWeb サーバーにホストされている WordPress アプリケーションは、複数の脆弱性の影響を受けます：

- 「getid3.lib.php」に、パーサーが信頼できないソースからの XML 外部エンティティを受け入れることによる、XML インジェクションの欠陥が存在します。特別に細工された XML データを使用して、リモートの攻撃者が、機密情報にアクセスしたり、サービス拒否を引き起こしたりする可能性があります。これは、3.7.4 と 3.8.4 を除く 3.6 ～ 3.9.1 のバージョンに影響を与えます。

- パーサーが XML 内部エンティティを適切に検証せずに受け入れることによる、XML インジェクションの欠陥が「xmlrpc.php」に存在します。特別に細工された XML を使用して、リモートの攻撃者が、サービス拒否を引き起こす可能性があります。
 これは、3.7.4 と 3.8.4 を除く 1.5 ～ 3.9.1 のバージョンに影響を与えます。

- ウィジットを処理する際に、スクリプト「/src/wp-includes/class-wp-customize-widgets.php」に安全でないシリアル化の欠陥が存在しています。これにより、リモートの攻撃者は、任意のコードを実行する可能性があります。バージョン 3.9 および 3.9.1 非デフォルト構成が影響を受けています。

- デリミタで個々に分離しておらず、時定数で nonce を比較していないため、CSRF トークンの構築を行う際に欠陥が存在しています。これにより、リモートの攻撃者がブルートフォース攻撃を仕掛けることや、CSRF トークンを漏洩する可能性があります。これは、3.7.4 と 3.8.4 を除く 2.0.3 ～ 3.9.1 のバージョンに影響を与えます。

- アバターからの入力がユーザー戻される前に検証されない、「/src/wp-includes/pluggable.php」内のスクリプトの「get_avatar」関数に、クロスサイトスクリプティングの欠陥が存在しています。特別に細工されたリクエストを使用して、認証された攻撃者が、ブラウザ/サーバー信頼関係内で任意のスクリプトコードを実行する可能性があります。これは、バージョン 3.9.1 に影響を与えます。

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

在 Web 部落格工具 Wordpress 中發現多個安全性問題，導致拒絕服務或資訊洩漏。

如需詳細資訊，請至上游公告：https://wordpress.org/news/2014/08/wordpress-3-9-2/

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其版本號碼，遠端 Web 伺服器上主控的 WordPress 應用程式受到多個弱點影響：

- 在「getid3.lib.php」中存在一個 XML 插入瑕疵，此瑕疵是因為剖析器接受來自未受信任來源的 XML 外部實體所導致。透過使用特製的 XML 資料，遠端攻擊者可存取敏感資訊或造成拒絕服務。這會影響 3.6 到 3.9.1 版 (3.7.4 和 3.8.4 除外)。

- 在「xmlrpc.php」中存在一個 XML 插入瑕疵，此瑕疵是因為剖析器在沒有加以適當驗證的情況下接受 XML 內部實體。透過使用特製的 XML 資料，遠端攻擊者可造成拒絕服務。
 這會影響 1.5 到 3.9.1 版 (3.7.4 和 3.8.4 除外)。

- 在處理 widget 時，指令碼「/src/wp-includes/class-wp-customize-widgets.php」中存在一個不安全的序列化瑕疵。這可讓遠端攻擊者執行任意程式碼。3.9 和 3.9.1 版非預設組態會受影響。

- 在構建 CSRF token 時存在一個瑕疵，此瑕疵是因為它未以分隔符號分隔片段，而且沒有以時間常數方式比較 nonce 所導致。這可能允許遠端攻擊者進行暴力密碼破解攻擊，並可能洩漏 CSRF token。這會影響 2.0.3 至 3.9.1 版 (3.7.4 和 3.8.4 版除外)。

- 在「/src/wp-includes/pluggable.php」指令碼內的函式「get_avatar」中存在一個跨網站指令碼瑕疵，其中，來自虛擬人偶的輸入並未在傳回給使用者之前加以驗證。透過使用特製的要求，經驗證的攻擊者可能在瀏覽器/伺服器信任關係中執行任意指令碼。這會影響 3.9.1 版。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

根据其版本号，远程 Web 服务器上托管的 WordPress 应用程序受到多种漏洞的影响：

- “getid3.lib.php”中存在一个 XML 注入缺陷，此缺陷是由于解析器接受来源不受信任的 XML 外部实体。远程攻击者可使用特别构建的 XML 数据访问敏感信息或造成拒绝服务。这会影响版本 3.6 - 3.9.1，3.7.4 和 3.8.4 除外。

- “xmlrpc.php”中存在一个 XML 注入缺陷，此缺陷是由于解析器未正确验证 XML 内部实体就将其接受。远程攻击者可使用特别构建的 XML 数据造成拒绝服务。
 这会影响版本 1.5 - 3.9.1，3.7.4 和 3.8.4 除外。

- 处理小组件时，脚本“/src/wp-includes/class-wp-customize-widgets.php”中存在一个不安全的序列化缺陷。这可能允许远程攻击者执行任意代码。版本 3.9 和 3.9.1 非默认配置会受到影响。

- 构建 CSRF 标记时存在一个缺陷，因为未使用分隔符分开各部分并且未持续比较临时信息。这可允许远程攻击者执行蛮力攻击并可能泄露 CSRF 标记。这会影响版本 2.0.3 - 3.9.1，3.7.4 和 3.8.4 除外。

- “/src/wp-includes/pluggable.php”脚本中的函数“get_avatar”中存在一个跨站脚本缺陷，其中未在将来自虚拟形象的输入返回用户之前对其进行验证。经过认证的攻击者可使用特别构建的请求在浏览器/服务器信任关系内执行任意脚本代码。这会影响版本 3.9.1。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

在 Wordpress（Web 博客工具）中发现多种安全问题，可导致拒绝服务和信息泄露。

可在上游公告中找到更多详细信息：https://wordpress.org/news/2014/08/wordpress-3-9-2/

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Versions of WordPress 3.7.x prior to 3.7.4 , 3.8.x prior to 3.8.4 , and 3.9.x prior to 3.9.2 are susceptible to the following vulnerabilities : 

  - An XML injection flaw exists within 'getid3.lib.php' due to the parser accepting XML external entities from untrusted sources. Using specially crafted XML data, a remote attacker could access sensitive information or cause a denial of service. This affects versions 3.6 - 3.9.1, except 3.7.4 and 3.8.4.
 - An XML injection flaw exists within 'xmlrpc.php' due to the parser accepting XML internal entities without properly validating them. Using specially crafted XML data, a remote attacker could cause a denial of service. This affects versions 1.5 - 3.9.1, except 3.7.4 and 3.8.4.
 - An unsafe serialization flaw exists in the script '/src/wp-includes/class-wp-customize-widgets.php' when processing widgets. This could allow a remote attacker to execute arbitrary code. Versions 3.9 and 3.9.1 non-default configurations are affected.
 - A flaw exists when building CSRF tokens due to it not separating pieces by delimiter and not comparing nonces in a time-constant manner. This could allow a remote attacker to conduct a brute force attack and potentially disclose the CSRF token. This affects versions 2.0.3 - 3.9.1, except 3.7.4 and 3.8.4.
 - A cross-site scripting flaw exists in the function 'get_avatar' within the '/src/wp-includes/pluggable.php' script where input from the avatars is not validated before returning it to the user. Using a specially crafted request, an authenticated attacker could execute arbitrary script code within the browser / server trust relationship. This affects version 3.9.1.

ID	Name	Product	Family	Published	Updated	Severity
77102	Debian DSA-3001-1 : wordpress - security update	Nessus	Debian Local Security Checks	8/10/2014	1/11/2021	high
77102	Debian DSA-3001-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	8/10/2014	1/11/2021	high
77102	Debian DSA-3001-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	8/10/2014	1/11/2021	high
77102	Debian DSA-3001-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	8/10/2014	1/11/2021	high
77157	WordPress < 3.7.4 / 3.8.4 / 3.9.2 Multiple Vulnerabilities	Nessus	CGI abuses	8/12/2014	6/5/2024	high
82202	Debian DLA-56-1 : wordpress security update	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	high
82202	Debian DLA-56-1：wordpress セキュリティ更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	high
77157	WordPress < 3.7.4 / 3.8.4 / 3.9.2 複数の脆弱性	Nessus	CGI abuses	8/12/2014	6/5/2024	high
82202	Debian DLA-56-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	high
77157	WordPress < 3.7.4 / 3.8.4 / 3.9.2 多個弱點	Nessus	CGI abuses	8/12/2014	6/5/2024	high
77157	WordPress < 3.7.4 / 3.8.4 / 3.9.2 多种漏洞	Nessus	CGI abuses	8/12/2014	6/5/2024	high
82202	Debian DLA-56-1：wordpress 安全更新	Nessus	Debian Local Security Checks	3/26/2015	1/11/2021	high
9025	WordPress < 3.7.4 / 3.8.x < 3.8.4 / 3.9.x < 3.9.2 Multiple Vulnerabilities	Nessus Network Monitor	CGI	12/17/2015	3/6/2019	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high

high

high