WordPress < 3.3.3 / 3.4.0 多种漏洞

medium Nessus 插件 ID 72984

语言：

简介

远程 Web 服务器包含受到多个漏洞影响的 PHP 应用程序。

描述

根据其版本号的不同，远程 Web 服务器上托管的 WordPress 安装受到以下漏洞的影响：

-“edit-tags.php”脚本中存在跨站脚本缺陷，在提交时未验证“slug”参数。远程攻击者可利用此缺陷来创建特别构建的请求，从而在浏览器与服务器之间的信任关系内的用户浏览器会话中执行任意脚本代码。(CVE-2012-6633)

-“wp-admin/media-upload.php”脚本中存在缺陷，未正确审查“post_id”参数的输入。这可允许远程攻击者访问潜在的敏感信息或绕过媒体附件限制。(CVE-2012-6634)

-“wp-admin/includes/class-wp-posts-list-table.php”脚本中存在一个缺陷，导致其无法限制对 excerpt-view 的访问。这可允许远程攻击者在查看草稿时访问潜在的敏感信息。(CVE-2012-6635)

- 已应用一些强化来阻止注释中未过滤的 HTML。这可能允许点击劫持。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。