Italiano
Română
РусскийEvitar que Wordpress elimine las etiquetas <script> al cambiar de HTML a Visual (TinyMCE)
Bien, he visto soluciones que resuelven parcialmente este problema, pero nada definitivo y nada que solucione mi problema al 100%.
Escenario:
- En modo HTML, agrego código javascript a una entrada que estoy editando.
- Cambio al modo Visual, luego vuelvo a HTML, y la etiqueta script y todo su contenido desaparecen.
¿Cómo puedo evitar que esto suceda? He intentado agregar código personalizado en mi functions.php tratando de acceder a extended_valid_elements para TinyMCE, pero nada funciona.
¡Por favor ayuda!
Hola Tom, creo que sería muy útil si pudieras proporcionar evidencia de por qué esto es una mala práctica y por qué está pidiendo a gritos ser hackeado.
Matthew Boynes
porque cualquiera puede insertar cualquier cosa en tu contenido, ya sea algo que haga que tus hipervínculos parpadeen o algo que realice una descarga automática. Cualquier persona con acceso a tu base de datos o con permisos de edición de publicaciones puede usar tu sitio para distribuir javascript malicioso
Tom J Nowell
También mezcla contenido/datos con funcionalidad/controladores, y hace que tu contenido no sea portable entre temas, ya que cambiar de tema rompería el contenido.
Tom J Nowell
ej. "¡Hola, este es mi primer post en el blog! <script>window.location="www.hackme.com/installtrojan";</script>"
Tom J Nowell
Podría argumentar que "cualquiera con acceso a tu base de datos o con permisos de edición de posts" puede arruinarte el día de todas formas, e implementar esto mediante shortcodes o meta posts no haría diferencia en cuanto a seguridad. Igualmente, no veo que los shortcodes o meta posts separen contenido/datos de funcionalidad/controladores más de lo que @Buckers está preguntando. Creo que este es un buen valor por defecto para WordPress, no me malinterpretes, pero personalmente no veo ningún daño en anular este comportamiento con consentimiento informado, ni veo ventajas de seguridad u ortogonalidad en lo que propones. Pero, oye, tal vez me estoy perdiendo algo.
Matthew Boynes
suena muy inseguro en multisite (cualquier cosa que permita introducir HTML sin filtrar lo es) y en cualquier caso, parece que ya no tiene soporte por parte del autor
Mark Kaplun
@MarkKaplun - No estoy seguro de por qué dices que el plugin no tiene soporte. No se ha actualizado recientemente, pero probablemente sea porque el autor está ocupado con otras cosas (puedes ver sus publicaciones en otros foros). De todos modos, funciona bien en la versión 4.7.
Guss
En cuanto al tema de seguridad - sigo viendo respuestas en este sitio que dicen "esto o aquello no es seguro, así que no lo hagas". Creo que quienes responden deberían dejar de imponer su modelo de seguridad a otros usuarios. Si un administrador decidió instalar un plugin y tenerlo disponible, asumiría que consideró las implicaciones de seguridad. En mi configuración de WPMS, todos los usuarios son de confianza (los creo manualmente), así que si elijo hacer disponible el plugin Shortcoder, es porque he revisado las consideraciones de seguridad y son aceptables. Esperaría que la mayoría de instalaciones WPMS estén en la misma categoría.
Guss
El 99.9% de los usuarios de WordPress no tienen ni idea de las implicaciones de seguridad de lo que están haciendo. Los usuarios nunca son de confianza, el problema es que solo lo descubrirás después de los hechos, cuando será extremadamente difícil recuperarse de ello.
Mark Kaplun
En cuanto al plugin, si al autor no se molesta en actualizar el archivo readme para indicar que debería funcionar en una versión que se lanzó hace 3 meses, es un buen indicio de que perdió interés en el plugin.
Mark Kaplun