Perché è importante limitare l'accesso alla WP REST API
Un bug critico in WordPress consente agli hacker di modificare facilmente qualsiasi post sul tuo sito web.
English version: Why it’s important to restrict access to the WP REST API
Hai un sito web basato su WordPress? Congratulazioni! Offri un ottimo strumento per gli hacker. Si chiama WordPress REST API ed è abilitato di default. REST API è una tecnologia che consente di eseguire quasi tutte le azioni o le attività amministrative su un sito web in remoto. WP REST API è abilitato di default a partire dalla versione 4.7.0 di WordPress.
Prendi il controllo della REST API: come limitare l'accesso alla REST API di WordPress
La REST API di WordPress non è una tecnologia ancora abbastanza matura al giorno d'oggi e il suo codice contiene molti bug imprevisti. Ecco perché devi limitare l'accesso alla REST API con un plugin di sicurezza come WP Cerber. Per favore, prendetelo sul serio, ragazzi, perché ho delle brutte notizie per voi. Di recente, subito dopo il rilascio di una nuova versione di WordPress 4.7, è stato trovato un bug critico. Questo bug consente ai visitatori non autorizzati di modificare qualsiasi post sul tuo sito web. Il bug è stato trovato da Ryan Dewhurst ed è stato risolto dal team di WordPress in WordPress 4.7.2.
La versione precedente WordPress 4.7.1 è stata annunciata come Security and Maintenance Release e ha corretto otto bug . Sfortunatamente, il bug REST API non è stato ancora risolto. Ciò lascia milioni di siti web non protetti in tutto il mondo. È difficile da credere, ma l'aggiornamento di WordPress su hosting condivisi potrebbe richiedere diverse settimane. Quanti siti web sono stati hackerati e infettati?
Nel frattempo, da quando la REST API è stata abilitata silenziosamente per ogni sito web, sono stati scoperti e corretti 20 (venti) bug. Sono un bel po' di bug per una tecnologia che consente a chiunque di eseguire attività amministrative su un sito web in modalità background.
Il plugin WP Cerber Security consente di limitare o bloccare completamente l'accesso alla REST API. Non importa quanti bug abbia la REST API.
WordPress 5.4.1. Un aggiornamento di sicurezza corregge sette vulnerabilità XSS
WP Cerber Security 8.6.5
I'm a team lead in Cerber Tech. I'm a software & database architect, WordPress - PHP - SQL - JavaScript developer. I started coding in 1993 on IBM System/370 (yeah, that was amazing days) and today software engineering at Cerber Tech is how I make my living. I've taught to have high standards for myself as well as using them in developing software solutions.
Does mail chimp have a rest api namespace that I should include?
RE: previous comment
7. Restrict access to REST API and XML-RPC
Go to the Hardening admin page.
Check Disable REST API. Specify namespace exceptions for REST API if it’s needed. For instance, if you use Contact Form 7, the namespace is contact-form-7 for Jetpack it’s jetpack.
Please ask the mailchimp team. If their solution uses WordPress REST API in a way, they must know.
How do I establish what my enabled plugins name spaces are
You can easily find out the REST API namespace if you check a request URL and take a string between /wp-json/ and the next slash /. For example, here you can see the Contact Form 7 namespace which is contact-form-7: https://wpcerber.ru/wp-json/contact-form-7/v1/contact-forms/250/feedback