WordPress-spezifisch Wörterbuch
WordPress-Nonce
Definition
Ein WordPress-Nonce ist ein kurzlebiges Token, das prüft, ob eine Anfrage beabsichtigt war, vor allem um CSRF-Risiko zu senken.
Auch genannt: WordPress nonce, nonce, wpnonce, wp_nonce, Nonce
Zuletzt aktualisiert
Warum es für WordPress wichtig ist
Core und solide gebaute Plugins hängen Nonces an Admin-Formulare und AJAX-Aufrufe, damit eine fremde Seite diese Aktionen nicht leicht fälschen kann, während Sie angemeldet sind. Ein fehlender oder ungeprüfter Nonce taucht ständig in CVE-Beschreibungen auf. Ein Nonce ist keine Verschlüsselung und kein Ersatz für Rechteprüfungen.
So zeigt es sich in der Praxis
- Versteckte
_wpnonce-Felder in Einstellungsformularen - URLs mit
?_wpnonce=bei Ein-Klick-Aktionen - Advisories, die „missing nonce verification“ an einem privilegierten Endpunkt nennen
- Abgelaufene Nonce-Fehler, nachdem ein Admin-Tab zu lange offen war
Was Sie tun sollten
- Halten Sie WordPress und Plugins aktuell, wenn Nonce-Fehler ausgeliefert werden.
- Prüfen Sie in eigenem Code Nonces und
current_user_can( ... )zusammen. - Behandeln Sie „die URL ist unauffällig“ nicht als Schutz.
- Wenn Sie Admin-Oberflächen bauen, scheitern Sie geschlossen, wenn der Nonce fehlt oder falsch ist.
Verwandte Begriffe
Ideas cercanas en el diccionario
- CSRF CSRF verleitet einen angemeldeten Browser, eine Anfrage zu senden, die der Benutzer nicht senden wollte.
- Cross-Site-Scripting (XSS) Cross-Site-Scripting (XSS) schleust bösartiges JavaScript in Seiten ein, das die Browser anderer Benutzer ausführen.
- Rechteausweitung Rechteausweitung heißt, höheren Zugriff zu bekommen als vorgesehen, etwa wenn ein Abonnent zum Administrator wird.
- WordPress-Benutzerrollen Benutzerrollen bündeln Rechte, die festlegen, was jedes Konto in WordPress darf, vom Lesen bis zur vollen Administration.
