Посмотрите на свой WordPress глазами атакующего

Что мы проверяем

Обычное сканирование доступно всем. Глубокое проверяет и чувствительные пути, поэтому работает только для домена, владение которым вы подтвердили в аккаунте.

Обычное сканирование запрашивает не более 10 адресов, глубокое — не более 48. Все запросы только на чтение (GET); содержимое чувствительного файла не сохраняется, в отчёт попадает только путь.

• Версия ядра

  Версия сопоставляется с уязвимостями ядра WordPress по веткам.

  Обычное

• Плагины и их версии

  У каждого плагина свои уязвимости; прочитанная версия делает сопоставление точным.

  Обычное

• Темы

  Активная и дочерняя темы сопоставляются с тем же каталогом.

  Обычное

• Статус на wordpress.org

  Удалён ли плагин из каталога, отстаёт ли установленная версия от последней, считает ли WordPress.org версию ядра небезопасной?

  Обычное

• Переадресация на HTTPS

  Сайт на HTTP передаёт cookie сессии и пароли в открытом виде.

  Обычное

• Раскрытие логинов (REST API и архив автора)

  Известные логины упрощают подбор пароля.

  Обычное

• Регистрация пользователей

  При открытой регистрации уязвимости, требующие «подписчика», доступны извне.

  Обычное

• XML-RPC

  Позволяет перебирать много паролей за запрос и злоупотреблять pingback.

  Обычное

• readme.html

  Оставшийся от установки файл сообщает, на чём работает сайт.

  Обычное

• Листинг каталога (uploads)

  Любой загруженный файл можно найти без подбора адреса.

  Обычное

• Уточнение версий плагинов и тем

  Читаются readme.txt и style.css; «возможные» записи становятся «подтверждёнными» или «чистыми».

  Глубокое

• Резервные копии wp-config

  Можно ли скачать пароль базы данных и секретные ключи?

  Глубокое

• debug.log

  Содержит пути к файлам, запросы и иногда персональные данные.

  Глубокое

• Бэкап базы данных и папки бэкапов

  Весь контент и хеши паролей; видны ли папки плагинов резервного копирования?

  Глубокое

• .env и .git

  Можно ли скачать пароли, ключи API и исходный код?

  Глубокое

Открытые данные и ленты

Используйте наши данные об уязвимостях WordPress в своих инструментах. Поля, выведенные Noroxi (сопоставление компонентов, уровень доступа, статус исправления), распространяются по CC BY 4.0: с указанием источника допустимо и коммерческое использование. Кода или ссылок на эксплойты нет ни в одном выводе.

Что бесплатно и что добавляют тарифы

Сканирование, отчёт и каталог бесплатны. Платные тарифы добавляют более частое пересканирование и больше сайтов.

Без аккаунта: 3 пассивных сканирования в день.

Посмотреть тарифы

Ограничения и чего мы не делаем

• Пассивное сканирование видит только то, что сайт показывает наружу; плагины без следов на фронтенде в список не попадут.
• Записи для компонента с непрочитанной версией остаются «возможными» и не влияют на оценку; версии мы не угадываем.
• Никакого подбора паролей, отправки форм и попыток эксплуатации. Уязвимость выводится из версии, а не проверяется атакой.
• Если файрвол вернул страницу проверки, отчёт об этом скажет; мы не выдаём себя за браузер.
• Государственные домены не сканируются ни в каком режиме.
• Уровень доступа берётся из текста записи, иначе из CVSS; если не указан нигде, остаётся «неизвестен» и скидка не применяется.
• «Исправления нет» пишется, только если запись прямо относит последнюю версию на wordpress.org к затронутым. Для компонентов вне wordpress.org (платных) такое утверждение не делается; статус регулярно обновляется, дата проверки указана на странице компонента.
• Это не тест на проникновение: бизнес-логика, авторизация и ошибки собственного кода вне рамок.

Частые вопросы

Навредит ли сканирование сайту или замедлит его?

Нет. Обычное сканирование отправляет по одному запросу на чтение не более чем на 10 адресов — как посетитель, открывший несколько страниц. Ничего не записывает и не пытается войти.

Можно ли сканировать чужой сайт?

Обычное сканирование запрашивает только адреса, которые любой может открыть в браузере, поэтому владение не требуется. Глубокое, проверяющее чувствительные пути, работает только для подтверждённого вами домена.

Чем «подтверждённые» отличаются от «возможных»?

Подтверждённые: мы прочитали версию компонента, и она попадает в затронутый диапазон. Возможные: компонент есть, но версию прочитать не удалось; вы можете быть не затронуты. Возможные записи не снижают оценку.

Я скрываю номера версий. Что вы увидите?

Меньше. Если компонент виден, а версия нет, записи показываются как «возможные». После подтверждения домена глубокое сканирование прочитает версию из readme.txt самого плагина.

Хранятся ли результаты и кто их видит?

Каждое сканирование сохраняется и получает неугадываемую ссылку. Отчёт откроет только тот, у кого есть ссылка; страницы отчётов закрыты от поисковых систем.

Как узнать о новой уязвимости?

Добавьте сайт в наблюдение. В бесплатном аккаунте мы пересканируем раз в неделю, в Pro и Team — каждый день; если подтверждённых уязвимостей стало больше, придёт уведомление в аккаунт и в ежедневную сводку по email, если она включена.

Я не хочу, чтобы мой сайт сканировали.

Запросы приходят с user agent NoroxiWP; его можно заблокировать на сервере или в файрволе. Для заблокировавшего сайта сканирование не даёт результата.

Откуда берутся метки «без авторизации», «подписчик+»?

Из текста самой записи. В записях об уязвимостях WordPress нужная роль обычно названа прямо (напр. «уровень подписчика и выше»). Если роль не названа, мы смотрим поле CVSS «требуемые привилегии» и пишем только «нужен вход» или «высокие права»; роль не выдумываем. Если на сайте открыта регистрация, уязвимости «подписчик+» поднимаются выше как доступные любому.

В отчёте написано «закрыт на wordpress.org». Что делать?

Плагин удалён из официального каталога (в отчёте есть дата и причина) и больше не обновляется. На сайте он продолжит работать, но уязвимости не будут исправлены. Удалите его или перейдите на поддерживаемый аналог.

Есть ли API, лента или инструмент MCP?

Да. RSS- и JSON-ленты без ключа отдают новейшие записи. С ключом API /api/v1/wordpress?host= возвращает сканирование, а /api/v1/wordpress/component — проверку плагина и версии; в MCP это инструменты wordpress_scan и wordpress_component. Весь каталог есть в дампе открытых данных.