Безопасность плагинов.
-
Ещё 6 лет назад участник форума sibqwerty задал вопрос: «Насколько безопасно скачивать плагины из админки, точнее из официального репозитария WordPress? Проверяет ли их там кто-то (кроме автора плагина) на наличие скрытых элементов или ещё чео-нибудь нехорошего?», на который модератор форума sergeybiryukov ответил ему
Насколько мне известно, с момента создания каталога плагины проверяет Mark Jaquith, один из ведущих разработчиков WordPress. Плагины, которые не соответствуют требованиям, удаляются из каталога. В позапрошлом и прошлом году он выступал на конференциях WordCamp с презентациями «Secure Coding with WordPress» и «Writing Secure Plugins».
Однако в 2016 году исследователи из компании RIPS Technologies изучили безопасность 47 959 плагинов для WordPress (именно столько представлено на официальном сайте WordPress.org, так что исследователи проверили большую их часть). Для проведения тестов, специалисты загрузили все плагины с сайта, а затем воспользовались статическим анализатором кода, чтобы выявить плагины, которые имеют хотя бы один PHP-файл. Таких оказалось 44 705, именно их изучали далее.
Как выяснилось, около 14 000 плагинов (32%) содержат всего 2-5 файлов, тогда как крупных плагинов, содержащих более 500 строк кода, насчитывается 10 523 штуки. 4559 из них (то есть 43%) содержат по меньшей мере одну XSS-уязвимость.
Критические уязвимости были найдены лишь в 41 плагине, а вот серьёзные и умеренные проблемы содержат 7411 плагинов. Малоопасные проблемы были найдены в 1426 плагинах. Таким образом, суммарно исследователи выявили 67 486 различных проблем с безопасностью и установили, что более 8800 плагинов так или иначе уязвимы.
Самым распространенным типом уязвимостей являются XSS-баги (68%). Широкое распространение также имеют и SQL-инъекции (20%).
В связи с чем опять возник тот же вопрос шестилетней давности, а именно, проверяет ли кто на безопасность плагины для WordPress, размещённые на официальном сайте WordPress.org?!
Результаты своего исследования специалисты компании RIPS Technologies опубликовали на своём сайте 14 декабря 2016 года.
Информация об этом в русском переводе опубликована журналом Xaker.ru 16.12.2016 года.
-
Теперь этим занимается не один человек, а отдельная команда.
Если проверкой плагинов WordPress на безопасность занимались и занимаются, почему же тогда один из известных разработчиков WordPress в своей статье «Основы безопасности WordPress» от 18.03.2013 г. в разделе » Уязвимый плагин WordPress» сообщил, что в директории WordPress.org «есть и уязвимые плагины, которые могут обеспечить злоумышленнику полный доступ к вашему сайту. Заранее знать безопасен ли тот или иной плагин невозможно, а проверка на уязвимость может занять от нескольких часов, до нескольких недель.»? То есть он публично признал, что они там есть!
И Вы это же признаёте, что нахождение плагина в каталоге не гарантирует его полную безопасность.На мой взгляд, проблема безопасности гораздо более актуальна для платных плагинов, которых в репозитории нет…
Исследователи проверяли плагины именно и только из официальной директории WordPress!
Не используйте Вордпресс. Пишите свой безопасный движок. За 2 месяца без знаний html.
SeVlad, спасибо за Ваш хотя и не конструктивный, тем не менее ответ!
Нельзя обижаться на объективную критику!
Если уж сам Джон Мюллер положительно отозвался о WordPress, и многие западные вебмастера считают, что Google наделяет некоторыми «преференциями» сайты, работающие на WordPress, то ничего не остаётся, как создавать сайт именно на WordPress!
Возможно, что Вы также поможете мне в этом!«Полное спокойствие может дать человеку только страховой полис»
Юрий, к РФ это не относится потому, чтобы в РФ получить крупную страховку, надо пройти множество судебных инстанций, чтобы доказать своё законное на неё право!
Нельзя обижаться на объективную критику!
Это не обида, не критика и не ничего объективного в Вашем троллинге нет.
Критиковать может человек, более-менее владеющий предметом.
А тот, кто разносит обрывки чужих старых знаний по принципу испорченного телефона — обычный тролль.Я же Вам дал совет, который позволит Вам не портить ни свои нервы, ни другим.
«Нельзя обижаться на объективную критику!»
- Тема «Безопасность плагинов.» закрыта для новых ответов.