WPVulnerability

Descripció

Aquesta extensió s’integra amb l’API de WPVulnerability per proporcionar avaluacions de vulnerabilitats en temps real per al nucli de WordPress, extensions, temes, versió de PHP, Apache HTTPD, nginx, MariaDB, MySQL, ImageMagick, curl, memcached, Redis i SQLite.

Entrega informes detallats directament al tauler de WordPress, ajudant-te a estar al corrent dels possibles riscos de seguretat. Configura l’extensió per enviar avisos periòdics sobre l’estat de seguretat del teu lloc, assegurant que et mantens informat sense sentir-te aclaparat. Dissenyada per ser fàcil d’utilitzar, admet mesures de seguretat proactives sense emmagatzemar ni recuperar cap dada personal del teu lloc.

Fiabilitat de les dades

La informació que proporciona la base de dades d’informació prové de diferents fonts que han estat revisades per tercers. No hi ha cap mena de responsabilitat per la informació. Actua sota el teu propi risc.

Utilitzant l’extensió

WP-CLI

Pots utilitzar les següents ordres de WP-CLI per gestionar i comprovar vulnerabilitats:

• Nucli: wp wpvulnerability core
• Extensions: wp wpvulnerability plugins
• Temes: wp wpvulnerability themes
• PHP: wp wpvulnerability php
• Apache HTTPD: wp wpvulnerability apache
• nginx: wp wpvulnerability nginx
• MariaDB: wp wpvulnerability mariadb
• MySQL: wp wpvulnerability mysql
• ImageMagick: wp wpvulnerability imagemagick
• curl: wp wpvulnerability curl
• memcached: wp wpvulnerability memcached
• Redis: wp wpvulnerability redis
• SQLite: wp wpvulnerability sqlite

Per configurar l’extensió pots utilitzar:

• Amaga component: wp wpvulnerability config hide <component> [on|off]
• Correu electrònic d’avisos: wp wpvulnerability config email <emails> (separats per comes)
• Període d’avisos: wp wpvulnerability config period <never|daily|weekly>
• Retenció de registres: wp wpvulnerability config log-retention <0|1|7|14|28> (en dies)
• Durada de la memòria cau: wp wpvulnerability config cache <1|6|12|24> (en hores)

Tots els comandaments admeten l’opció --format per especificar el format de sortida:

• --format=table: Mostra els resultats en un format de taula (per defecte)
• --format=json: Mostra els resultats en format JSON

Necessites ajuda?

• wp wpvulnerability --help: Mostra informació d’ajuda per als comandos de WPVulnerability
• wp wpvulnerability [command] --help: Mostra informació d’ajuda per a un comandament de WPVulnerability

REST API

L’extensió WPVulnerability proporciona diversos punts d’entrada REST API per recollir informació de vulnerabilitat per a diferents components del lloc WordPress.

• Nucli: /wpvulnerability/v1/core
• Extensions: /wpvulnerability/v1/plugins
• Temes: /wpvulnerability/v1/themes
• PHP: /wpvulnerability/v1/php
• Apache HTTPD: /wpvulnerability/v1/apache
• nginx: /wpvulnerability/v1/nginx
• MariaDB: /wpvulnerability/v1/mariadb
• MySQL: /wpvulnerability/v1/mysql
• ImageMagick: /wpvulnerability/v1/imagemagick
• curl: /wpvulnerability/v1/curl
• memcached: /wpvulnerability/v1/memcached
• Redis: /wpvulnerability/v1/redis
• SQLite: /wpvulnerability/v1/sqlite

L’API REST de WPVulnerability utilitza Contrasenyes d’Aplicació per a l’autenticació. Necessites incloure una Contrasenya d’Aplicació vàlida a la capçalera d’autorització de les teves sol·licituds

Exemple de sol·licitud amb autenticació

curl -X GET https://example.com/wp-json/wpvulnerability/v1/plugins -u username:application_password

Substitueix nom d’usuari pel teu username de WordPress i application_password per la teva Contrasenya d’Aplicació.

Configuracions Extra

«From:» mail (des de: 3.2.2)

Si, per alguna raó, necessites que els correus electrònics enviats per l’extensió tinguin un remitent diferent de l’administrador del lloc, pots canviar-ho des del wp-config.php afegint una constant:

define( 'WPVULNERABILITY_MAIL', 'sender@example.com' );

Si la constant està activa, serà visible a la pantalla de configuració

Força l’ocultació de comprovacions (des de: 4.1.0)

Si vols amagar sempre un component concret, pots definir una constant a wp-config.php. Si s’estableix a true, l’opció es marcarà automàticament a la pantalla de configuració i s’ometrà l’anàlisi corresponent.

Exemple:

define( 'WPVULNERABILITY_HIDE_APACHE', true );

Constants disponibles: WPVULNERABILITY_HIDE_CORE, WPVULNERABILITY_HIDE_PLUGINS, WPVULNERABILITY_HIDE_THEMES, WPVULNERABILITY_HIDE_PHP, WPVULNERABILITY_HIDE_APACHE, WPVULNERABILITY_HIDE_NGINX, WPVULNERABILITY_HIDE_MARIADB, WPVULNERABILITY_HIDE_MYSQL, WPVULNERABILITY_HIDE_IMAGEMAGICK, WPVULNERABILITY_HIDE_CURL, WPVULNERABILITY_HIDE_MEMCACHED, WPVULNERABILITY_HIDE_REDIS, WPVULNERABILITY_HIDE_SQLITE.

Durada de la memòria cau (des de: 4.1.0)

Per defecte, les dades de l’API es guarden a la memòria cau durant 12 hores. Per canviar-ho, defineix WPVULNERABILITY_CACHE_HOURS a wp-config.php amb un d’aquests valors: 1, 6, 12 o 24. Aquest valor substitueix la pantalla de configuració i l’ordre de WP-CLI.

define( 'WPVULNERABILITY_CACHE_HOURS', 24 );

Rotació de registres (des de: 4.2.0)

WPVulnerability emmagatzema les respostes més recents de l’API perquè puguis revisar les trucades recents des de la nova pestanya de registres. Defineix WPVULNERABILITY_LOG_RETENTION_DAYS a wp-config.php per controlar quants dies d’entrades es conserven. Els valors admesos són 0, 1, 7, 14 o 28; utilitzar 0 desactiva el registre completament.

define( 'WPVULNERABILITY_LOG_RETENTION_DAYS', 14 );

Quan la constant hi és present, el seu valor s’aplica a la interfície de configuració i a través de WP-CLI, garantint una rotació de registres coherent a tots els entorns.

Configuració de seguretat (des de: 4.3.0)

WPVulnerability utilitza un enfocament de detecció híbrid per al programari del servidor (ImageMagick, Redis, Memcached, SQLite): extensions PHP primer (més segur), i ordres de shell com a alternativa (més precís). Pots controlar aquest comportament mitjançant constants de configuració de seguretat a wp-config.php.

Desactivació global d’ordres de shell:

define( 'WPVULNERABILITY_DISABLE_SHELL_EXEC', true );

Desactiva completament l’ús d’ordres de shell. Recorre únicament a extensions PHP. Utilitza-ho per obtenir la màxima seguretat quan la pèrdua de precisió sigui acceptable.

Mode de seguretat (standard/strict/disabled):

define( 'WPVULNERABILITY_SECURITY_MODE', 'strict' );

• standard – Detecció híbrida: extensions PHP primer, ordres de shell com a alternativa (per defecte, millor precisió)
• strict – Només extensions PHP, sense ordres de shell (alta seguretat, menor precisió)
• disabled – Sense cap detecció de programari (màxima seguretat)

Llista blanca de components:

define( 'WPVULNERABILITY_SHELL_EXEC_WHITELIST', 'imagemagick,redis' );

Permet ordres de shell només per als components especificats. Components disponibles: imagemagick, redis, memcached, sqlite. Utilitza-ho per a un control granular.

Exemples:

Màxima seguretat (sense ordres de shell):

define( 'WPVULNERABILITY_SECURITY_MODE', 'strict' );

Permet només la detecció de shell d’ImageMagick:

define( 'WPVULNERABILITY_SHELL_EXEC_WHITELIST', 'imagemagick' );

Desactivació completa:

define( 'WPVULNERABILITY_DISABLE_SHELL_EXEC', true );

Totes les ordres de shell estan predefinides i validades; no hi intervé cap entrada de l’usuari. Les ordres es registren per a l’auditoria de seguretat.

Compatibilitat

• WordPress: 5.6 – 7.1
• PHP: 7.0 – 8.5
• WP-CLI: 2.3.0 – 2.12.0

Seguretat

Aquesta extensió s’adhereix a les següents mesures de seguretat i protocols de revisió per a cada versió:

• WordPress Plugin Handbook
• WordPress Plugin Security
• WordPress APIs Security
• WordPress Coding Standards
• Plugin Check (PCP)

Privadesa

• Aquesta extensió o la WordPress Vulnerability Database API no recopila cap informació sobre el lloc, la identitat, les extensions, temes o contingut que té el lloc.

Vulnerabilitats

• Es va trobar i corregir una vulnerabilitat de seguretat a la versió 4.2.2.1. Totes les versions anteriors (3.3.0 – 4.2.1) estan afectades. Actualitza a la versió 4.2.2.1 o posterior.

Found a security vulnerability? Please report it to us privately at ROBOTSTXT.

Col·laboradors

You can contribute to this plugin at the WPVulnerability repository.