Le WordPress d'aujourd'hui, décodé pour les développeurs

Histoire de WordPress

Hooks WordPress

Erreurs WordPress

.

S'abonner

Vous parcourez

sécurité

154 articles

Éditeur de site (FSE)

Capacités et rôles : qui peut réellement modifier un template du Site Editor

Restreindre l'accès à l'éditeur de site expérimental sans priver l'administrateur de ses droits demande de comprendre finement le système de capacités.

Par WordPress Développement • 30 janvier 2021 • 4 min de lecture

SSRF dans WordPress : wp_safe_remote_get et les URL fournies par l’utilisateur

Un champ « importer depuis une URL » mal conçu peut servir à sonder le réseau interne d'un hébergeur. Le rôle méconnu

Par WordPress Développement • 22 janvier 2021 • 4 min de lecture

Restreindre wp-admin par IP ou authentification HTTP sans casser admin-ajax

Réduire l'accès à l'administration à une liste d'IP ou un mot de passe supplémentaire, sans bloquer les appels front-end qui transitent par

Par WordPress Développement • 19 janvier 2021 • 4 min de lecture

Filtrer les champs sensibles exposés par /wp/v2/users en headless

Le point de terminaison des utilisateurs révèle par défaut plus d'informations qu'un front headless ne devrait afficher publiquement. Recette pour restreindre le

Par WordPress Développement • 17 janvier 2021 • 4 min de lecture

Redirections ouvertes : wp_safe_redirect plutôt que wp_redirect

Une redirection après connexion qui accepte n'importe quelle URL devient un outil de phishing clé en main. Le correctif tient en une

Par WordPress Développement • 7 janvier 2021 • 4 min de lecture

Force brute sur wp-login.php : limiter les tentatives de connexion

Des milliers de tentatives de connexion par jour, sur presque tous les sites WordPress. Comment limiter la casse côté application et côté

Par WordPress Développement • 24 décembre 2020 • 4 min de lecture

Énumération des utilisateurs WordPress : ?author= et /wp/v2/users

Deviner qui sont vos administrateurs prend trente secondes à un attaquant. Comment fermer ces portes sans abîmer l'API REST ni le SEO.

Par WordPress Développement • 17 décembre 2020 • 4 min de lecture

Upload de fichiers dans une extension : valider le type et le contenu

Un champ d'envoi de fichier mal validé dans une extension maison ouvre la porte à l'exécution de code. La bonne méthode, étape

Par WordPress Développement • 24 novembre 2020 • 4 min de lecture

Journal d’activité WordPress : WP Activity Log, Simple History ou maison ?

Quand un incident survient, savoir qui a fait quoi et quand change tout. Comparatif de trois approches pour tracer l'activité admin.

Par WordPress Développement • 15 octobre 2020 • 4 min de lecture

Bloquer l’exécution de PHP dans wp-content/uploads sous nginx et Apache

Le dossier des médias accepte des fichiers d'inconnus. Interdire à PHP de s'y exécuter neutralise la quasi-totalité des webshells déposés.

Par WordPress Développement • 28 septembre 2020 • 4 min de lecture