Categoria: Sicurezza Wordpress
Difetti logici
WordPress offre una moltitudine di funzioni di sicurezza per aiutare gli sviluppatori a proteggere il loro codice da vulnerabilità note delle applicazioni web. Tuttavia, indipendentemente…
Falsificazione della richiesta lato server (SSRF)
WordPress fornisce un set di funzioni di richiesta HTTP tramite la sua API HTTP. Queste vengono utilizzate dagli sviluppatori di plugin e temi per effettuare…
Caricamento dei file
Consentire il caricamento di file arbitrari può comportare l’esecuzione di codice PHP malevolo o attacchi Cross-Site Scripting (ad esempio tramite file SVG). WordPress fornisce le…
Deserializzazione e metodi JSON
WordPress offre agli sviluppatori le funzioni maybe_serialize() e maybe_unserialize(), che sono semplicemente wrapper delle funzioni PHP serialize() e unserialize() con un controllo aggiuntivo per i dati serializzati…
API REST Autenticazione e Autorizzazioni
La REST API di WordPress gestisce l’autenticazione in modo leggermente diverso rispetto alla sua autenticazione standard basata sul login. Supporta non solo l’autenticazione basata su cookie, ma anche password…
Glossario sicurezza WordPress
Definizioni Autenticazione: processo di verifica dell’identità di un utente. Autorizzazione: processo di verifica se un utente ha l’autorizzazione per eseguire un’azione. Cookie: dati memorizzati sul lato client per…
Tipici sink di WordPress
Funzioni correlate alle vulnerabilità di escalation dei privilegi Funzioni correlate all’aggiornamento delle opzioni arbitrarie per le vulnerabilità di escalation dei privilegi Funzioni correlate alle vulnerabilità…
Nonce
Nonce sta per “numero utilizzato una sola volta”. Si tratta di una stringa alfanumerica pseudo-casuale generata utilizzando una delle funzioni di generazione nonce di WordPress e incorporata in una…
Autenticazione, ruoli utente, capacità e autorizzazione
L’autenticazione di WordPress in breve Come la maggior parte delle applicazioni web, WordPress consente agli utenti, definiti nella sezione Users del pannello di amministrazione, di autenticarsi…
Interazioni del database e SQL
L’API di WordPress mette a disposizione un gran numero di funzioni di database, in modo che gli sviluppatori possano evitare di passare input non attendibili…
Escape
L’escape consiste nel manipolare o filtrare i dati indesiderati prima di utilizzarli nell’output. È simile nel concetto alla sanificazione, ma invece di agire sull’input, agiamo sull’output.…
Validazione e sanificazione dei dati
La WordPress Security API offre una vasta gamma di funzioni di convalida e sanificazione dei dati. Queste funzioni sono state create con l’intento di fornire agli sviluppatori…
