| Nazwa wtyczki | camofox-mcp |
|---|---|
| Rodzaj podatności | podatność NPM |
| Numer CVE | Nieznane |
| Pilność | Wysoki |
| Data publikacji CVE | 2026-05-20 |
| Adres URL źródła | https://www.cve.org/CVERecord/SearchResults?query=Unknown |
NPM: camofox-mcp — Nieautoryzowana powierzchnia kontrolna MCP HTTP “przeglądarki” (co właściciele stron WordPress muszą zrobić teraz)
W dniu 19 maja 2026 roku opublikowano podatność o wysokim priorytecie dla pakietu npm camofox-mcp (naprawioną w wersji 1.13.2). W komunikacie opisano nieautoryzowaną powierzchnię kontrolną MCP (zarządzania/kontrolowania) HTTP, która może być osiągnięta przez sieć bez autoryzacji, o niskiej złożoności i bez interakcji użytkownika. Problem ma wynik Patchstack CVSS 7 i jest klasyfikowany jako priorytet “Wysoki” — co oznacza, że atakujący prawdopodobnie może go wykorzystać na dużą skalę.
Jeśli prowadzisz strony WordPress — niezależnie od tego, czy na zarządzanym hostingu, w hybrydowych architekturach, które zawierają komponenty Node.js, czy za pośrednictwem usług zewnętrznych, które zawierają moduły Node — musisz zrozumieć, co to oznacza, jak wpływa na twoje środowisko i jakie konkretne kroki należy podjąć natychmiast. Ten przewodnik wyjaśnia podatność w prostych słowach, przedstawia realistyczne scenariusze ataków na infrastruktury WordPress i dostarcza krok po kroku porady dotyczące łagodzenia, wykrywania i długoterminowego wzmacniania z perspektywy zespołu ds. bezpieczeństwa WordPress.
Uwaga: poprawka została wydana w camofox-mcp v1.13.2. Gdzie nie możesz natychmiast zaktualizować, zawieram praktyczne środki kompensacyjne, które możesz zastosować, aby zredukować ryzyko.
TL;DR (szybkie podsumowanie)
- Oprogramowanie: pakiet npm camofox-mcp
- Wersje podatne: < 1.13.2
- Naprawione w: 1.13.2
- Powaga: Wysoka (CVSS 7)
- Cechy: Możliwość wykorzystania w sieci, niska złożoność, brak wymaganych uprawnień, brak interakcji użytkownika
- Natychmiastowe działanie: Zaktualizuj do 1.13.2 lub nowszej wszędzie tam, gdzie ten pakiet jest używany. Jeśli nie możesz natychmiast zaktualizować, odizoluj usługę, ogranicz dostęp do sieci do powierzchni kontrolnej i zastosuj zasady WAF / kontrole dostępu, aby zablokować bezpośredni dostęp.
- Dla WordPress: nawet jeśli twój rdzeń WP to PHP, wiele stosów WP zawiera narzędzia oparte na Node, interfejsy administracyjne lub zasoby dostarczane przez dostawców. Traktuj to jako ryzyko łańcucha dostaw i usuń/inwentaryzuj usługi Node wystawione na internet.
Co oznacza “nieautoryzowana powierzchnia kontrolna MCP HTTP przeglądarki”?
Prosto mówiąc: część oprogramowania udostępnia interfejs zarządzania lub kontroli (MCP — Management Control Plane) przez HTTP, który akceptuje żądania i pozwala na operacje bez wymagania autoryzacji. “Powierzchnia kontrolna przeglądarki” sugeruje, że interfejs miał być dostępny programowo z przeglądarki lub lokalnego interfejsu administracyjnego, ale pozostał dostępny przez sieć i bez odpowiednich kontroli dostępu.
Konsekwencje:
- Każdy, kto może dotrzeć do tego punktu końcowego przez sieć (internet lub sieć wewnętrzną), może wchodzić w interakcje z powierzchnią kontrolną.
- Ponieważ brakuje autoryzacji lub silnych kontroli dostępu, atakujący może wydawać polecenia lub manipulować zachowaniem zdalnie.
- Biorąc pod uwagę niską złożoność wykorzystania i brak wymaganej interakcji użytkownika, prawdopodobne są zautomatyzowane kampanie masowego skanowania i masowego wykorzystania.
Dlaczego właściciele stron WordPress powinni się tym przejmować (ryzyka łańcucha dostaw + integracja hosta)
Wiele osób prowadzących strony WordPress zakłada, że podatność Node/npm jest nieistotna, ponieważ WordPress to PHP. To niebezpieczne założenie.
Powszechne sposoby, w jakie podatności oparte na npm wpływają na środowiska WordPress:
- Pipelines budowy i wdrożenia: motywy, biblioteki bloków i budowy wtyczek często korzystają z narzędzi Node. Serwery budowy i uruchamiacze CI/CD działające na podatnych pakietach Node mogą być narażone lub skompromitowane.
- Ustawienia headless/hybrydowe: WP używane jako API treści z front-endem opartym na Node (Next.js, Gatsby, niestandardowe serwery Node). Te front-endy mogą korzystać z camofox-mcp lub innych zależności pośrednich.
- Infrastruktura dostawców wtyczek/narzędzi: niektóre wtyczki WordPress zawierają interfejsy administracyjne oparte na Node lub zintegrowany kod dostawcy, który uruchamia lokalne procesy Node.
- Komponenty po stronie serwera: niektórzy hosterzy lub panele zarządzania zawierają usługi Node do pulpitów nawigacyjnych w czasie rzeczywistym, zadań w tle lub przetwarzania zasobów.
- Infekcja łańcucha dostaw: skompromitowany pakiet npm może być użyty do wstawienia tylnego wejścia, kradzieży poświadczeń lub zainstalowania złośliwego oprogramowania w artefaktach budowy, które później są wdrażane na stronach WordPress.
Ponieważ problem z camofox-mcp umożliwia nieautoryzowany dostęp do kontroli, udany atak może prowadzić do:
- Wykonania dowolnych poleceń lub manipulacji konfiguracją na usłudze Node.
- Kradzieży kluczy API, poświadczeń lub tokenów używanych w procesach budowy/wdrożenia.
- Wstawienia złośliwego JavaScriptu do zbudowanych zasobów, które są następnie serwowane przez WordPress (trwała infekcja łańcucha dostaw).
- Przejęcia komponentów orkiestracji hostingu, które wpływają na wiele stron WordPress (jeśli usługa jest na współdzielonym hoście).
Jeśli Twoje środowisko WordPress używa komponentów Node gdziekolwiek — nawet tylko w pipeline deweloperskim — traktuj to jako pilne.
Realistyczne scenariusze ataków
Scenariusz A — Skompromitowany serwer budowy front-endu
- Skompromitowany serwer budowy używa podatnego camofox-mcp. Atakujący uzyskuje dostęp do powierzchni kontrolnej MCP i zmienia proces budowy, aby wstrzyknąć złośliwy JavaScript do plików motywu lub pakietu bloków.
- Gdy właściciel strony wdraża artefakt motywu lub wtyczki, złośliwy JS trafia do produkcji i wykonuje się w przeglądarkach odwiedzających: kradzież poświadczeń, przechwytywanie ciasteczek, skimmery kart kredytowych lub przekierowacze.
Scenariusz B — Ujawniony interfejs zarządzania na panelu zarządzania hostingiem
- Narzędzie zarządzania hostem lub pulpit administracyjny używa camofox-mcp do zapewnienia kontroli na żywo. Powierzchnia kontrolna jest dostępna z internetu z powodu błędnej konfiguracji.
- Atakujący uzyskuje kontrolę i eskaluje do operacji na poziomie hosta, wpływając na wielu najemców WP.
Scenariusz C — Headless WP + front-end Node
- Front-end Next.js używa podatnego pakietu. Atakujący manipuluje zachowaniem front-endu (np. wstrzykując skrypty) lub używa płaszczyzny kontrolnej do uzyskania dostępu do sekretów używanych do wywoływania API backendu, a następnie kompromituje systemy backendowe lub kradnie tokeny API.
Scenariusz D — Skompromitowany pipeline CI/CD
- System CI używa komponentu Node z camofox-mcp. Napastnik kontroluje pipeline i zmienia dane uwierzytelniające do wdrożenia, dodając trwałe tylne drzwi do wszystkich witryn zbudowanych za pomocą tego pipeline.
Wszystkie te scenariusze pokazują, jak luka w Node/npm może mieć poważne skutki w dół strumienia dla witryn WordPress, nawet gdy sama aplikacja PHP nie jest bezpośrednio podatna.
Lista kontrolna natychmiastowych działań (co zrobić w ciągu następnych 24–72 godzin)
- Inwentaryzacja i identyfikacja
- Przeszukaj swoje środowisko w poszukiwaniu instancji camofox-mcp i starszych wersji pakietów Node/npm.
- Sprawdź serwery budowlane, uruchamiacze CI, obrazy Dockera, zasoby dostawców wtyczek/motywów oraz wszelkie niestandardowe usługi Node.
- Zapytaj dostawców i zewnętrznych dostawców, czy używają tego pakietu w swoich stosach.
- Aktualizuj tam, gdzie to możliwe
- Zaktualizuj camofox-mcp do wersji 1.13.2 lub nowszej wszędzie tam, gdzie jest używane.
- Odbuduj wszelkie artefakty i wdroż czyste wersje po aktualizacji.
- Izoluj narażone usługi
- Jeśli nie możesz zaktualizować natychmiast, ogranicz dostęp do sieci do usługi: użyj reguł zapory, aby zezwolić tylko zaufanym adresom IP lub sieciom wewnętrznym na dostęp do niej.
- Jeśli usługa nie powinna być dostępna w internecie, usuń publiczne trasy lub umieść ją za uwierzytelnionym odwrotnym proxy.
- Zablokuj powierzchnię kontrolną na obrzeżach (WAF/I&P)
- Utwórz reguły WAF, aby zablokować żądania do punktu końcowego MCP. Blokuj na podstawie ścieżki, metod HTTP lub charakterystycznych nagłówków żądań.
- Odrzuć ruch z podejrzanych adresów IP i zastosuj surowe ograniczenia przepustowości, aby zmniejszyć ryzyko skanowania/eksploatacji.
- Rotuj sekrety i klucze
- Jeśli usługa Node miała dostęp do kluczy wdrożeniowych, tokenów API lub danych uwierzytelniających, obróć je po zaktualizowaniu lub izolowaniu podatnego komponentu.
- W szczególności obróć klucze używane przez CI/CD, API hostingu lub jakikolwiek system, który może zmieniać pliki lub treści WordPress.
- Odbuduj i zweryfikuj
- Odbuduj motywy/wtyczki/zasoby, używając zaktualizowanego środowiska Node i zweryfikuj, czy budowy nie zawierają nieoczekiwanej treści (złośliwy JS).
- Waliduj sumy kontrolne wdrożonych artefaktów w porównaniu do znanego dobrego repozytorium, jeśli to możliwe.
- Skanuj i monitoruj
- Uruchom skanowanie złośliwego oprogramowania na korzeniach witryn i bazach danych, aby wykryć wstrzyknięty JS lub tylne drzwi.
- Sprawdź dzienniki serwera, dzienniki dostępu i dzienniki CI pod kątem podejrzanej aktywności lub nieoczekiwanych kompilacji.
- Awaryjne rozwiązanie: wirtualne łatanie
- Jeśli nie możesz natychmiast zaktualizować pakietu, zastosuj wirtualne łaty za pomocą zapory aplikacyjnej, aby zablokować podatną powierzchnię kontrolną. To jest rozwiązanie tymczasowe, a nie trwała naprawa.
Jak wykryć, czy zostałeś celem (wskaźniki kompromitacji)
Szukaj następujących oznak w swoim środowisku WP, pipeline CI/CD i systemach hostujących:
- Nieoczekiwane zmiany w zasobach front-end (JS motywu, pakiety wtyczek) — porównaj z kopiami w repozytorium.
- Nowe lub zmodyfikowane pliki JavaScript w wp-content/themes/* lub wp-content/plugins/*, których nie autoryzowałeś.
- Wychodzące połączenia sieciowe z serwerów kompilacyjnych lub serwerów WWW do podejrzanych domen.
- Nieautoryzowane zatwierdzenia lub kompilacje w systemach CI wokół daty publikacji podatności.
- Dzienniki dostępu pokazujące powtarzające się żądania do dziwnych punktów końcowych, które mogą odpowiadać powierzchni kontrolnej (szczególnie POST do punktów końcowych admina z nowych adresów IP).
- Podejrzane zaplanowane zadania, wpisy cron lub nowi użytkownicy admina w WordPressie po okresie podatności.
- Zwiększona liczba błędów 500/502 na usługach Node spowodowana próbami eksploatacji.
Jeśli zobaczysz którykolwiek z tych objawów, traktuj to jako potencjalnie złośliwe i zgłoś do zespołu reagowania na incydenty.
Kroki reagowania na incydenty (jeśli podejrzewasz kompromitację)
- Zawierać
- Natychmiast wyłącz dotkniętą usługę Node lub ogranicz dostęp.
- Izoluj dotknięte hosty od sieci, gdzie to możliwe.
- Zachowaj logi i artefakty
- Zbieraj dzienniki dostępu, dzienniki systemowe, dzienniki CI i migawki systemu plików do analizy kryminalistycznej.
- Wytępić
- Zastąp skompromitowane artefakty kompilacji czystymi z kontroli źródła, odbudowanymi w czystym, załatanym środowisku.
- Przywróć obrazy skompromitowanych hostów, jeśli nie możesz być pewny zakresu kompromitacji.
- Odzyskiwać
- Przywróć pliki WordPressa z czystych kopii zapasowych, jeśli to konieczne. Zweryfikuj integralność kopii zapasowej przed przywróceniem.
- Rotuj wszystkie sekrety (klucze API, klucze SSH, tokeny wdrożeniowe), które mogły zostać ujawnione.
- Przegląd poincydentalny
- Udokumentuj przyczynę i harmonogram.
- Zastosuj poprawki i wzmocnij systemy, aby zapobiec powtórzeniu się.
- Zgłoś to interesariuszom i zaktualizuj strony trzecie zgodnie z wymaganiami polityki lub prawa.
Praktyczne wzmocnienie i długoterminowe zabezpieczenia dla sklepów WordPress.
- Traktuj pakiety Node/npm jak każdą inną zależność.
- Utrzymuj wykaz materiałów oprogramowania (SBOM) dla swoich środowisk budowy i uruchamiania.
- Używaj narzędzi SCA do wczesnego wykrywania podatnych pakietów Node w CI.
- Wzmocnij potoki budowy.
- Przechowuj uruchamiacze CI i serwery budowy w prywatnych sieciach.
- Używaj efemerycznych uruchamiaczy, które są często odbudowywane i nie przechowują długoterminowych poświadczeń.
- Wprowadź zasadę najmniejszych uprawnień dla tokenów budowy i ogranicz zakres kluczy wdrożeniowych.
- Chroń zasoby internetowe i przepływy CDN.
- Podpisuj i weryfikuj zbudowane zasoby tam, gdzie to możliwe (SRI — Integralność podzasobów) i waliduj budowy przed wdrożeniem.
- Serwuj zasoby produkcyjne z zaufanych CDN i okresowo skanuj je pod kątem manipulacji.
- Kontrola dostępu i segmentacja sieci.
- Zastosuj zasady zerowego zaufania między usługami: tylko systemy, które potrzebują dostępu do powierzchni kontrolnej, powinny go mieć.
- Umieść powierzchnie administracyjne/kontrolne za VPN lub bramkami uwierzytelniającymi.
- Ochrony na poziomie aplikacji.
- Wymuszaj ścisłą politykę bezpieczeństwa treści (CSP) i nagłówki bezpieczeństwa HTTP w WordPress, aby ograniczyć, co mogą robić wstrzyknięte skrypty.
- Użyj WAF z możliwością szybkiego dodawania niestandardowych reguł i wirtualnych poprawek.
- Monitorowanie i powiadamianie
- Skonsoliduj logi (logi dostępu, logi aplikacji, logi CI) i ustaw alerty na nietypowe wzorce.
- Poluj na anomalie w artefaktach budowy, wzorcach wdrożeń i żądaniach sieciowych.
- Dbałość o dostawców i łańcuch dostaw
- Zapytaj dostawców wtyczek/tematów o ich zarządzanie zależnościami i czy skanują pod kątem luk w npm.
- Preferuj dostawców, którzy oferują podpisane wydania, powtarzalne budowy i jasne zasady aktualizacji.
Pisanie reguł WAF i wirtualnych poprawek (praktyczne przykłady)
Dobrze dostrojony WAF może blokować próby wykorzystania podczas aktualizacji systemów. Oto pomysły na szablony — dostosuj do swojego środowiska:
- Blokuj znane ścieżki kontrolne:
- Przykład (pseudo): Jeśli ścieżka żądania pasuje do /mcp/* lub /admin/mcp/* to blokuj, chyba że adres IP źródłowy znajduje się na liście dozwolonych.
- Blokuj podejrzane metody HTTP dla ścieżek administracyjnych:
- Odrzuć PUT, DELETE na punktach końcowych zasobów frontendowych, chyba że użytkownik jest uwierzytelniony.
- Ogranicz liczbę POSTów do punktów końcowych, które powinny być używane tylko przez uwierzytelnionych administratorów.
- Blokuj powtarzające się próby: odrzuć IP po N żądaniach do nietypowych punktów końcowych w ciągu M sekund.
Ważne: nie polegaj tylko na WAF. Wirtualne poprawki zmniejszają natychmiastowe ryzyko, ale rzeczywista zależność musi być zaktualizowana.
Jak priorytetyzować usuwanie zagrożeń w wielu witrynach.
Wiele agencji i hostów WordPress zarządza dużą liczbą witryn. Priorytetuj naprawy w następujący sposób:
- Witryny korzystające z frontendów Node lub niestandardowych usług Node wystawionych publicznie — najwyższy priorytet.
- Witryny, w których pipeline budowy/wdrożenia dzieli dane uwierzytelniające z wieloma witrynami.
- Witryny o dużym ruchu lub e-commerce, które przyniosłyby większe nagrody dla atakujących.
- Środowiska, w których podatny pakiet jest obecny na publicznie routowalnym hoście.
Użyj automatyzacji do skanowania repozytoriów, obrazów Docker i pakietów serwerowych w celu zidentyfikowania narażeń. Zastosuj podejście fazowe: izolacja, wirtualna łatka, aktualizacja, odbudowa, weryfikacja.
Lista kontrolna komunikacji dla agencji i hostów
Jeśli zarządzasz klientami lub najemcami:
- Powiadom dotkniętych klientów o prostym języku informacji: co zostało znalezione, co robisz i czy muszą podjąć działania.
- Podaj harmonogram i aktualizacje statusu.
- Zachęcaj do rotacji poświadczeń i doradzaj klientom, aby monitorowali logi i aktywność związaną z płatnościami w poszukiwaniu anomalii.
Bądź przejrzysty: klienci doceniają proaktywną ochronę, a nie niespodzianki.
Dlaczego same aktualizacje czasami nie wystarczą
Aktualizacja podatnego pakietu jest obowiązkowa, ale to nie koniec historii:
- Artefakty zbudowane z użyciem skompromitowanego pipeline'u mogą nadal zawierać wstrzyknięty kod, nawet po aktualizacji pakietu. Odbuduj czyste artefakty.
- Jeśli napastnicy uzyskali prawa do wdrożeń lub skradli klucze, sama aktualizacja pakietów nie usuwa trwałego dostępu — rotuj klucze i przeglądaj kontrolę dostępu.
- Jeśli podatna usługa była dostępna przez pewien czas, rozważ walidację po kompromitacji (sprawdzanie integralności plików, przeglądy baz danych, skanowanie złośliwego oprogramowania stron trzecich).
Rola ciągłego skanowania i zarządzanej ochrony
Aby zredukować przyszłe ryzyko, potrzebujesz podejścia warstwowego:
- Ciągłe skanowanie podatności środowisk uruchomieniowych, obrazów budowy i pakietów stron trzecich (SCA).
- Ochrona w czasie rzeczywistym za pomocą WAF i aktywne skanowanie złośliwego oprogramowania na korzeniach stron internetowych.
- Szybka zdolność do wirtualnego łatania, abyś mógł zablokować wykorzystanie, podczas gdy stosowane są poprawki inżynieryjne.
- Kontrola dostępu i automatyczna rotacja sekretów w CI/CD.
Te połączone kontrole zmniejszają zarówno okno narażenia, jak i promień eksplozji incydentów w łańcuchu dostaw.
Zacznij chronić swoją stronę z darmowym planem WP‑Firewall
Jeśli jesteś odpowiedzialny za jedną lub więcej witryn WordPress i chcesz natychmiastowej, podstawowej ochrony bez kosztów wstępnych, rozważ wypróbowanie darmowego planu WP‑Firewall. Plan Podstawowy (Darmowy) zapewnia natychmiastową podstawową ochronę: zarządzany zapora, nieograniczona przepustowość, aktywnie utrzymywana zapora aplikacji internetowej (WAF), skaner złośliwego oprogramowania oraz zabezpieczenia zaprojektowane w celu złagodzenia ryzyk OWASP Top 10 — wszystkie funkcje, które pomagają zredukować narażenie na zagrożenia, takie jak podatności w łańcuchu dostaw npm i ujawnione powierzchnie kontrolne.
Uzyskaj plan WP‑Firewall Basic (darmowy) tutaj: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
Jeśli potrzebujesz dodatkowej automatyzacji — automatyczne usuwanie złośliwego oprogramowania, czarną/białą listę adresów IP lub wirtualne łatanie — płatne plany dodają te możliwości i są wycenione tak, aby odpowiadały małym zespołom oraz operacjom na poziomie przedsiębiorstw.
Lista kontrolna: praktyczny plan działania, który możesz wdrożyć teraz (kopiuj/wklej)
- Zrób inwentaryzację wszystkich systemów dla camofox-mcp < 1.13.2 (w tym CI/CD, obrazy Dockera, bezgłowe interfejsy, interfejsy administracyjne dostarczone przez dostawców).
- Zaktualizuj camofox-mcp do 1.13.2+ tam, gdzie jest używany.
- Odbuduj wszystkie artefakty produkcyjne z czystego, załatane środowiska i wdroż je ponownie.
- Ogranicz dostęp do sieci do wszelkich punktów końcowych MCP/kontrolnych (zasady zapory lub tylko VPN).
- Utwórz zasady WAF, aby zablokować lub ograniczyć liczbę żądań do ścieżek powierzchni kontrolnej i podejrzanych metod.
- Zmień wszelkie ujawnione klucze wdrożeniowe, tokeny API i dane uwierzytelniające CI.
- Przeprowadź pełne skanowanie złośliwego oprogramowania i integralności plików WordPress i zasobów statycznych.
- Monitoruj logi pod kątem podejrzanej aktywności i przechowuj logi przez 90+ dni dla wartości kryminalistycznej.
- Poinformuj klientów lub interesariuszy o podatności i podjętych krokach naprawczych.
- Zaplanuj okresowe skanowania SCA dla wszystkich zależności Node/npm używanych w budowach i czasach wykonywania.
Ostatnie słowa z perspektywy bezpieczeństwa WordPress
Wrażliwości w łańcuchu dostaw w ekosystemach JavaScript mają realne konsekwencje dla właścicieli i operatorów WordPress. Nawet gdy rdzeń CMS to PHP, nowoczesne strony WordPress często są częścią większego ekosystemu, który obejmuje narzędzia i usługi oparte na Node. Ostrzeżenie dotyczące camofox-mcp jest aktualnym przypomnieniem: musisz traktować zależności nie-PHP z taką samą powagą jak wtyczki i motywy PHP.
Aktualizuj szybko, ale mądrze — odbuduj artefakty, zmień dane uwierzytelniające i zweryfikuj. Użyj kontroli obwodowych, aby zmniejszyć promień eksplozji podczas łatania, i wdrażaj ciągłe skanowanie oraz wirtualne łatanie tam, gdzie to możliwe, aby zmniejszyć okna narażenia. Jeśli potrzebujesz prostych, zarządzanych zabezpieczeń, aby natychmiast zacząć zmniejszać ryzyko, dobrym miejscem na początek jest zarządzany WAF i skaner złośliwego oprogramowania, który może stosować wirtualne zasady podczas naprawy podstawowych zależności.
Bezpieczeństwo nigdy nie jest pojedynczą akcją; to program. Zrób inwentaryzację, zautomatyzuj wykrywanie i zakładaj, że atakujący będzie skanować łatwo dostępne powierzchnie administracyjne. Jeśli działasz wcześnie i metodycznie, zmniejszasz prawdopodobieństwo, że mały problem z zależnością stanie się dużym incydentem wielostanowym.
Bądź czujny, łataj szybko i traktuj łańcuch dostaw jako element pierwszej klasy w swoim programie bezpieczeństwa WordPress.
