Raport kontroli bezpieczeństwa dla administratorów CMS

Rejestr zmian

Wydania przed 2.2.0 są wymienione w changelog.txt.

2.4.0

Dodano

• Lista kontrolna zamiast jednorazowego werdyktu. Od drugiego uruchomienia strona otwiera się na przeglądzie: ocena, gdzie witryna zaczęła i gdzie jest dzisiaj, pasek dla każdego uruchomienia, pięć rzeczy do przejrzenia, co jest nadal otwarte oraz co zostało rozwiązane i kiedy. Prowadzony trzystopniowy przewodnik pozostaje dla pierwszego uruchomienia.
• Każde zadanie zawiera przycisk, który ponownie uruchamia to jedno sprawdzenie i odpowiada w ciągu sekund. Poprawka jest potwierdzana, gdy nadal jesteś na ekranie, a następne zadanie przesuwa się w górę, zamiast czekać na następne pełne przejście.
• Historia ostatnich 24 uruchomień. Pierwsze uruchomienie jest zachowywane na stałe, tak aby linia otwarcia zawsze mogła wskazać, gdzie witryna zaczęła. Instalacja aktualizowana z wcześniejszej wersji znajduje swoje dwa zapisane uruchomienia jako pierwsze dwa punkty.
• Postęp według kategorii, tak aby było widoczne, która część witryny została załatwiona, a która nie.
• Szósty obszar, przejrzystość i ujawnianie informacji, z jednym sprawdzeniem: czy treści generowane przez AI na witrynie są oznaczone. Artykuł 50 unijnej ustawy o AI wymaga etykiety czytelnej maszynowo i powiadomienia dla chatbotów AI od 2 sierpnia 2026 roku. Wtyczki ujawniające informacje z katalogu są rozpoznawane po ich katalogu i po ustawieniach, które zapisują, a sprawdzenie tylko ostrzega, ponieważ witryna bez treści AI nie ma nic do oznaczenia.
• Licznik przy pozycji menu, widżet w kokpicie i przypomnienie, gdy ostatnie pełne uruchomienie jest starsze niż trzydzieści dni. Przypomnienie można wyłączyć na stałe, dla każdego użytkownika.

Zmieniono

• Raport jest teraz budowany na serwerze. Wcześniej był składany w przeglądarce, co oznaczało, że przegląd nie mógł istnieć, zanim uruchomienie się zakończyło, a ten sam znacznik musiałby być napisany dwukrotnie.
• Pojedyncze ponowne sprawdzenie nigdy nie zapisuje punktu w historii, a strona jasno mówi, że ocena opiera się częściowo na starszych pomiarach. Częściowe zaliczenie nie jest uruchomieniem.
• Uruchomienie przechowuje to, co zgłosiło każde sprawdzenie, więc raport można odbudować bez ponownego uruchamiania wszystkiego.

Naprawiono

Każda kontrola została przeczytana w odniesieniu do źródeł, które cytuje: php.net, podręcznik WordPressa, kod samego WordPressa, MDN oraz pakiety wtyczek, które rozpoznaje. To ujawniło stwierdzenia, które uruchamiają się przy prawidłowych konfiguracjach, jedno, które w ogóle nie można było uruchomić, i twierdzenia, które przestały być prawdziwe lata temu.

• Witryny z ochroną dwuskładnikową zostały zgłoszone jako nieposiadające żadnej. Klucz meta użytkownika przechowywany dla iThemes, Solid i Kadence Security nie jest tym, który zapisują te wtyczki, a ten dla Defendera w ogóle w nim nie istnieje. Google Authenticator przechowuje ciąg „disabled”, który był liczony jako drugi czynnik, ponieważ nie jest pusty, więc jedyny przypadek, dla którego istnieje sprawdzenie, pozostał niezauważony.
• Sprawdzenie wtyczek usuniętych z katalogu nie można było uruchomić. API odpowiada 404 dla zamkniętej listy, a funkcja WordPressa zamienia to w błąd, zanim flaga „zamknięte” zostanie kiedykolwiek odczytana, więc sprawdzenie zgłosiło pełne bezpieczeństwo dokładnie w przypadku, dla którego zostało napisane. Teraz pyta sam punkt końcowy i rozróżnia zamkniętą listę, wtyczkę, która nigdy nie była listowana, i niedostępną.
• WordPress zainstalowany we własnym katalogu został zgłoszony jako wstrzyknięta wartość opcji, o krytycznym poziomie ważności. Porównanie adresów witryny i strony głównej nie pozwala odróżnić tego od przejęcia, a w prawdziwym przejęciu oba są zmieniane razem, więc porównanie zostało usunięte.
• Witryna za Cloudflare została zgłoszona jako posiadająca adres klienta podatny na spoofing. Sprawdzenie szuka teraz proxy, które się identyfikuje i mówi, że wynik jest nieokreślony, gdy nie może tego stwierdzić, zamiast ostrzegać.
• API sklepu WooCommerce zostało zgłoszone jako trasa zapisu pozostawiona bez ochrony. Rejestrowanie trasy jako publicznej to pisownia, którą przewodnik zaleca, więc trasa bez żadnego wywołania zwrotnego uprawnień i trasa celowo publiczna są teraz rozróżniane.
• Ścisła polityka bezpieczeństwa treści (Content Security Policy) z opublikowanych wytycznych została zgłoszona jako pozostawiająca dziurę, którą zamyka. Przeglądarki, które rozumieją 'strict-dynamic’, ignorują rezerwowy 'unsafe-inline’ obok niego, a sprawdzenie robi teraz to samo. Symbol wieloznaczny hosta nie jest już mylony z zezwalaniem na skrypty z dowolnego miejsca.
• DISALLOW_FILE_MODS zamyka edytor plików i zatrzymuje aktualizacje w tle. Żadne sprawdzenie tego nie wiedziało, więc zastosowanie się do własnej porady tej wtyczki pozostawiło jedno odkrycie w mocy, a inne zamieniło w fałszywe potwierdzenie bezpieczeństwa.
• system.multicall nie wzmacnia odgadywania haseł od WordPressa 4.4, a sprawdzenie XML-RPC rozpoznaje teraz filtr, którego większość wtyczek zabezpieczeń używa do wyłączenia interfejsu.
• Porada, aby wybrać nazwę wyświetlaną inną niż nazwa logowania, nic nie daje, ponieważ uproszczona nazwa autora zachowuje nazwę logowania, z której została wygenerowana.
• Hasła aplikacji zostały zgłoszone jako wyłączone na każdej witrynie bez HTTPS, czyli tam, gdzie WordPress odmawia ich w pierwszej kolejności.
• Serwer, który udostępnia źródło pliku PHP, został zgłoszony jako uruchamiający go. Są to różne problemy z różnymi rozwiązaniami.
• .user.ini i .htpasswd zostały wymienione wśród plików do usunięcia. Są to aktywne konfiguracje, a usunięcie drugiego blokuje dostęp użytkownikom.
• Na IIS sprawdzenie .htaccess zalecało zapisanie ustawień bezpośrednich odnośników, co zapisuje tam web.config, a nigdy .htaccess.
• Rola, która pojawiła się dopiero po pierwszym uruchomieniu, jak to ma miejsce w przypadku wtyczki sklepu lub członkostwa, została zgłoszona jako rola posiadająca uprawnienia administratora.
• Instalatory i skrypty powłoki wśród przesłanych plików nie są już traktowane jako kod wykonywany przez serwer.
• Uruchomienie zapisane przez 2.3.2 mogło wywołać ostrzeżenie PHP przy pierwszym wyświetleniu strony po aktualizacji, a stan wyciszenia, z którym zostało zapisane, jest teraz zachowywany, dopóki uruchomienie tej wersji go nie zastąpi.
• Skanowania i wyszukiwania, które nie mogą się zakończyć, teraz informują o tym, zamiast zgłaszać, że wszystko jest w porządku: skanowanie plików kodu samego WordPressa, które osiągnęło swój limit, lista wtyczek, której nie można było pobrać, zrzut bazy danych, którego adres URL nie odpowiedział.

Wyjaśnienia

• Każdy z sześćdziesięciu jeden wpisów został przeczytany w odniesieniu do metody, którą dokumentuje. Czternaście opisywało wyniki, których kontrola nie ma, lub milczało na temat tych, które ma.
• Wpis dotyczący nagłówków zabezpieczeń teraz wymienia wartości do wprowadzenia, co było jedyną rzeczą, której brakowało. Wpisy dotyczące uprawnień mówią, gdzie zmienić uprawnienia plików bez dostępu do powłoki. Około tuzina terminów jest wyjaśnianych tam, gdzie pojawiają się po raz pierwszy, zamiast być zakładanymi.
• Ostrzeżenie dotyczące prefiksu tabeli wskazywało na niewłaściwy mechanizm, a uzasadnienie dla 640 zamiast 440 w wp-config.php było odwrócone. Pliki w katalogu głównym witryny były nazywane nieszkodliwymi jako grupa, chociaż phpinfo.php wyświetla całe środowisko PHP.

2.3.2

Naprawiono

• Sprawdzenie plików wykonywalnych w katalogu uploads zgłosiło pusty plik index.php, który WordPress i większość wtyczek umieszcza w każdym katalogu upload, aby zatrzymać listowanie katalogów. Te pliki są przeciwieństwem znaleziska, a ponieważ sprawdzenie jest krytyczne, pojedynczy z nich obniżył ocenę zdrowej witryny do D. Na dwudziestu witrynach ocena była identyczna z tego samego powodu. Sprawdzenie teraz odczytuje taki plik zamiast oceniać go po nazwie: index.php przechodzi tylko wtedy, gdy pozostaje mały i nie odczytuje danych żądania, nie zawiera żadnego innego pliku, nie wywołuje żadnej z funkcji, których potrzebuje upuszczona powłoka, i niczego nie drukuje. Wszystko inne jest nadal zgłaszane, w tym index.php.
• Każdy zgłoszony plik zawiera teraz swój rozmiar, a tam, gdzie index.php nie przeszedł, powód, dla którego został zgłoszony. Plik strażnika ma kilkaset bajtów, więc sama liczba zazwyczaj rozstrzyga, czym jest plik.
• Pokrycie uwierzytelniania dwuskładnikowego nie mogło odróżnić konta, które nigdy nie zakończyło konfiguracji, od konta, którego po prostu nie można było odczytać, i uznało oba za nierozstrzygające. Każda obsługiwana wtyczka jest teraz wymieniona wraz z metadanymi użytkownika, które zapisuje, więc zainstalowana wtyczka, której nikt nie używa, jest zgłaszana jako zagrożenie, którym jest, wymieniając konta bez drugiego czynnika.
• Wykrywanie uwierzytelniania dwuskładnikowego obejmuje teraz ReportedIP Hive, Solid Security, Kadence Security, WP Defender i Google Authenticator. iThemes Security zostało dwukrotnie zmienione i jest dostarczane pod trzema nazwami katalogów, z których wszystkie są rozpoznawane.

2.3.1

• Ekran jest teraz ułożony w trzech krokach: rozpocznij sprawdzenie, przeczytaj wynik, przejdź przez wszystko inne. Kroki drugi i trzeci mówią, co będą zawierać przed pierwszym uruchomieniem, więc strona wyjaśnia się sama.
• Przycisk start mówi, co robi i ile czasu to zajmuje, a notatka o pliku tymczasowym znajduje się bezpośrednio nad nim.
• Wynik otwiera się prostym zdaniem, a nie tylko literą: ile znalezisk wymaga teraz uwagi, ile warto poprawić i ile sprawdzeń nie można było ukończyć.
• Strona przewija się do wyniku, gdy uruchomienie się zakończy, zamiast pozostawiać go poniżej linii zgięcia.
• Lista priorytetów jest teraz nazywana tym, czym jest, listą zadań, i mówi, aby przechodzić przez nią po kolei.
• Znalezisko może zawierać odnośnik do dalszej pomocy. Znalezisko dotyczące uwierzytelniania dwuskładnikowego używa go do wskazania wtyczki Two Factor z zespołu [kodu samego WordPressa] oraz na ReportedIP Hive, które sami budujemy i nazywamy naszym.
• Usunięto trzy ciągi interfejsu i dwie reguły arkusza stylów pozostawione po przebudowie.

2.3.0

Przebudowano

• Jeden rejestr jest teraz jedynym źródłem prawdy dla sprawdzenia: identyfikator, etykieta, grupowanie, pilność, waga, wywołanie zwrotne i dokumentacja znajdowały się wcześniej w czterech oddzielnych miejscach, których nic nie utrzymywało w synchronizacji. Test teraz wymusza ich zgodność.
• Ocenianie przeniesiono z przeglądarki do PHP, co sprawia, że wynik jest odtwarzalny, testowalny i dostępny poza kokpitem.
• Punkt końcowy admin-ajax został zastąpiony trasami REST pod cascr/v1, uruchamiając trzy sprawdzenia jednocześnie, zamiast ściśle jedno po drugim.
• Wyniki są przechowywane, więc raport może porównać jedno uruchomienie z poprzednim.

Dodano

• Dwadzieścia pięć sprawdzeń, w tym publicznie czytelne pliki konfiguracyjne i foldery repozytoriów, zrzuty bazy danych w katalogu głównym witryny, wtyczki must-use i drop-ins, zmiany ról i uprawnień, spis haseł aplikacji z ostatnim użyciem, zasięg uwierzytelniania dwuskładnikowego na administratora, nieautoryzowane trasy zapisu REST, wygaśnięcie certyfikatu TLS, jakość HSTS i CSP, atrybuty plików cookie, fałszowanie adresu klienta i zmiany własności wtyczek.
• wp security-check run jako polecenie WP-CLI.
• Lista priorytetów pięciu rzeczy, które warto zrobić najpierw, na górze raportu.
• Porównanie z poprzednim uruchomieniem: nowo nieudane, rozwiązane, zmienione.
• Wyciszanie za pomocą odcisku palca treści, więc zaakceptowany wynik pojawia się ponownie, gdy tylko faktycznie się zmieni.
• „Nieokreślony” jako własny wynik, więc zablokowane żądanie nie jest już wynikiem i nie wpływa już na ocenę.
• Eksportuje jako zwykły tekst, JSON i CSV.
• Filtry cascr_registry i cascr_test_result.

Naprawiono

• Multisite zgłaszało „rejestracja jest zamknięta” w sieci, która pozwalała każdemu się zarejestrować, ponieważ sprawdzenie odczytywało opcję dla każdej witryny, którą multisite ignoruje. Teraz odczytuje ustawienia sieci.
• Administratorzy sieci byli pomijani w sprawdzeniach haseł, administratorów, uwierzytelniania dwuskładnikowego i haseł aplikacji. Posiadają wszystkie uprawnienia niezależnie od ich roli w witrynie, więc samo zapytanie o rolę ich nie znajdowało.
• Sprawdzenie prefiksu tabeli porównywało prefiks dla każdej witryny w multisite, więc każda podwitryna wyglądała, jakby miała własny.
• Zapisana ścieżka skryptowania międzywitrynowego: wyniki zawierające dane witryny, takie jak nazwy wtyczek lub nazwy użytkowników, zostały zapisane w podsumowaniu za pomocą innerHTML.
• Sprawdzenia uprawnień porównywano dokładnie z 0755 i dlatego zgłaszano 0750 oraz powszechne setgid 2755 jako niebezpieczne.
• WP_AUTO_UPDATE_CORE ustawione na true było zgłaszane jako ryzyko, chociaż umożliwia więcej aktualizacji niż zalecane ustawienie.
• „Niemodyfikowane od sześciu miesięcy” było traktowane jako „nieaktualne”, co oznaczało dobrze utrzymywane wtyczki. Zastąpiono datą wydania, wersją „testowane do” i statusem katalogu.
• Skanowanie sygnatur złośliwego oprogramowania przeszukiwało wp-admin i wp-includes w poszukiwaniu ciągów takich jak eval( i $_GET[ i wymagało ręcznie utrzymywanej listy 180 plików kodu samego WordPressa, aby pozostać cichym. Zastąpiono porównaniem z oficjalną listą plików WordPressa.
• Nagłówki zabezpieczeń były zasadą wszystko albo nic. Teraz są punktowane na nagłówek, a nagłówki izolacji cross-origin są traktowane jako opcjonalne.
• Interfejs podążał za schematem kolorów systemu operacyjnego i malował ciemne karty na jasnym kokpicie. Teraz podąża za panelem administracyjnym WordPressa.

Zmieniono

• Jedno żądanie do strony głównej na uruchomienie zamiast czterech i jedno wyszukiwanie aktualizacji zamiast jednego żądania na zainstalowaną wtyczkę.
• Połączono zduplikowane sprawdzenia (obsługa wersji PHP, metody XML-RPC, ograniczanie prób logowania) i usunięto dwa, które nigdy nie mogły zawieść (wersja jQuery, silnik przechowywania tabel).
• Każdy ciąg znaków w interfejsie jest możliwy do przetłumaczenia. Raport był wcześniej zakodowany na stałe w języku angielskim z niemieckim formatem daty.
• Liczby w raporcie używają prawidłowych form liczby mnogiej zamiast zakładać liczbę mnogą.
• Alert JavaScript został zastąpiony przez powiadomienie administratora i ogłoszenie dla czytnika ekranu.
• Pakiet testów działa teraz również w środowisku multisite, jako krok blokujący przed każdym wydaniem.

2.2.2

• Rozszerzona kompatybilność z PHP: wtyczka działa na PHP od 7.4 do 8.5.
• Wymaga WordPress 7.0 lub nowszego.
• Dodano zautomatyzowany pakiet testów obejmujący każde sprawdzenie oraz bramki uprawnień i kodów jednorazowych
• Ciągła integracja sprawdza kod w siedmiu wersjach PHP i uruchamia testy dla WordPress 7.0 oraz obecnego wydania.
• Naprawiono ostrzeżenie PHP w sprawdzeniach aktualizacji motywów i wtyczek, gdy ścieżka już nie istnieje
• Usunięto nieużywane ścieżki starego kodu i osiągnięto pełną zgodność ze standardami kodowania WordPress.

2.2.1

• Pierwsze wydanie w katalogu wtyczek WordPress.org
• Zmieniono nazwę katalogu wtyczki, głównego pliku i domeny tekstowej na security-check-report
• Usunięto test czarnej listy IP Spamhaus, który wysyłał adres serwera do strony trzeciej bez pytania
• Usunięto nieużywany, przestarzały kod i pliki
• Naprawiono ładowanie tłumaczeń w WordPress 6.7 i nowszych
• Włączono weryfikację certyfikatu dla żądania testu wykonania PHP

2.2.0

• Przeprojektowano interfejs z natywnym akordeonem szczegółów i podsumowania
• Dodano wyszukiwanie na żywo w dokumentacji sprawdzeń
• Przepisano każdy opis sprawdzenia na spójny format: co sprawdza, dlaczego jest to ważne, co należy zrobić
• Ujednolicono schemat kolorów i naprawiono kilka problemów z układem.