Ekspozycja debug.log
ważność wysokamierzonysposób exposure
Czy /wp-content/debug.log jest dostępny publicznie. Dziennik błędów zdradza ścieżki serwera, zapytania do bazy, czasem dane użytkowników.
WIKI
wiedza ze źródeł zewnętrznychArtykuł o parametrze „Ekspozycja debug.log” jest w przygotowaniu. Powstaje po kolei dla wszystkich 87 parametrów, każde twierdzenie z przypisem do źródła.
STATS
wyniki z systemu · tylko liczby zbiorczeTen parametr nie zapisuje odczytu per strona — przebieg zostawia tylko ustalenia, więc liczby sprawdzonych stron i wyników „ok” system nie ma. Pojawią się po wdrożeniu zapisu przebiegów per strona per parametr.
- Otwarte teraz
- 0stron: 0
- Nowe w ostatnim dniu
- 113.08.2026
- Otwarte od początku
- 1stron: 1
- Zamknięte
- 1od początku
- Mediana trwania
- 18 dni 19 hod wykrycia do zamknięcia
| Ustalenie | Skutek | Otwarte teraz | Łącznie | Zamknięte |
|---|---|---|---|---|
| Publiczny debug.log exposure_debug_log | otwarta podatność | 0 | 1 | 1 |
| Dzień | nowe ustalenia |
|---|---|
| 08.10.2026 | 0 ustaleń |
| 09.10.2026 | 0 ustaleń |
| 10.10.2026 | 0 ustaleń |
| 11.10.2026 | 0 ustaleń |
| 12.10.2026 | 0 ustaleń |
| 13.10.2026 | 0 ustaleń |
| 14.10.2026 | 0 ustaleń |
| 15.10.2026 | 0 ustaleń |
| 16.10.2026 | 0 ustaleń |
| 17.10.2026 | 0 ustaleń |
| 18.10.2026 | 0 ustaleń |
| 19.10.2026 | 0 ustaleń |
| 20.10.2026 | 0 ustaleń |
| 21.10.2026 | 0 ustaleń |
| 22.10.2026 | 0 ustaleń |
| 23.10.2026 | 0 ustaleń |
| 24.10.2026 | 0 ustaleń |
| 25.10.2026 | 0 ustaleń |
| 26.10.2026 | 0 ustaleń |
| 27.10.2026 | 0 ustaleń |
| 28.10.2026 | 0 ustaleń |
| 29.10.2026 | 0 ustaleń |
| 30.10.2026 | 0 ustaleń |
| 31.10.2026 | 0 ustaleń |
| 01.11.2026 | 0 ustaleń |
| 02.11.2026 | 0 ustaleń |
| 03.11.2026 | 0 ustaleń |
| 04.11.2026 | 0 ustaleń |
| 05.11.2026 | 0 ustaleń |
| 06.11.2026 | 0 ustaleń |
- Przebiegów
- 33sposób exposure
- W 30 dni
- 0przebiegów
- Ostatni
- 19.09.2026start przebiegu
- Stron w przebiegach
- —33 przebiegów bez liczby stron
CARD
karta z kodu CREATO_PING, odczyt 01.10.2026Jak ten parametr trafia do ClickUpa: wynik sondy to linia w subtasku 2. Pomiar, a usterka, którą otwiera — linia w subtasku 1. Podsumowanie (z identyfikatorem CWE i kategorią OWASP), skąd liczy się wskaźnik zagrożenia i status strony. Projekcja z bazy skanera odświeża oba subtaski co godzinę. Do 22.09 każde ustalenie dostawało własny subtask i status ze starego słownika (PODATNA, WARNING…) — te słowa zostały jeszcze w części opisów pomiaru niżej jako język wewnętrzny sond.
| Obszar i ważność | Bezpieczeństwo · wysoka (B37) |
|---|---|
| Workflow i częstotliwość | creato_ping_security_v2 · P3 działa na LAB247Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4) · Dokładny skan. dns_integrity porównuje NS, MX, SPF i DMARC z wzorcem z poprzedniego przebiegu. |
| Sonda i helper | sposób exposure · CREATO_PING/helpers/exposure_check.py |
| Testy |
|
| Typ wyniku | 0 albo 1 ustalenie exposure_debug_log |
| Jednostka | brak — wynik jakościowy; dowód „tylko skrót”: ścieżka, kod HTTP, długość i skrót treści, nigdy fragment |
| Próg i reguła | Timeout odpowiedzi 15 s, połączenia 5 s (TIMEOUTS["exposure"], TIMEOUTS["security_connect"]). 403, 404, przekierowanie, błąd sieci i timeout = brak ustalenia. |
| Gdzie leżą pokrętła | CREATO_PING/helpers/exposure_check.py → PROBES (/wp-content/debug.log, reguła 200+nonempty), DOWOD_TYLKO_SKROT, _EXPOSURE_CAP, _soft_200CREATO_PING/helpers/config.py → TIMEOUTS["exposure"], TIMEOUTS["security_connect"]CREATO_PING/config/incident_policy.toml → [finding] exposure_debug_log |
| Retencja odczytów | Surowy pomiar jako NIEZMIENNY wiersz tabeli `odczyty` w bazie skanera (wejście, wyjście, dowody, sha karty sondy i helpera, commit kodu) — trigger odrzuca każdą zmianę. Okno retencji z kohorty: 90 dni premium, 30 dni reszta; poza oknem zostają odczyty z werdyktem problemu, akcją albo etykietą, bo replay reguł ich potrzebuje (`skaner/retencja.py`). Do LAB247 ten kanał nie idzie (do bazy serwisu jadą dziś tylko sprawdzenia dostępności), więc poza odczytem zostaje werdykt w tabeli `werdykty` i sprawa w tabeli `sprawy`. |
| Znane rozbieżności |
|
| Karta przepisana z | CREATO_PING/helpers/exposure_check.py · CREATO_PING/sondy/exposure/karta.toml · CREATO_PING/helpers/config.py · CREATO_PING/helpers/security_runner.py · CREATO_PING/skaner/proby.toml · CREATO_PING/skaner/kohorty.toml · CREATO_PING/config/incident_policy.toml · CREATO_PING/skaner/usterki.toml · CREATO_PING/skaner/ocena.py · odczyt 01.10.2026 |
exposure_debug_log: bramka polityki otwarta (gate=true) → sprawa w skanerze → Dziennik błędów debug.log dostępny publicznie — waga 3 → ocena 5–6 (żółty), status strony „sredni”, dopóki sprawa jest otwarta. Helper nie wysyła sygnału zamknięcia: usunięcie pliku nie zamyka sprawy przy kolejnym pomiarze. Sprawy zakłada rytm p3; w badaniu droga kończy się na usterce przebiegu i wskaźniku badania.
| Kod | Finding | Severity | Pewność | Skutek | Finding / alarm | Waga → ocena | Co zrobić |
|---|---|---|---|---|---|---|---|
| B37.01 | Publiczny debug.logexposure_debug_log | Wysoka | Ewidentne | otwarta podatność | tak / nie | waga 3 → ocena 5–6 (żółty) | Wyłącz WP_DEBUG_LOG na produkcji i usuń plik. |
| Kod i klucz | B37.01 · exposure_debug_log · w tabeli typów |
|---|---|
| Co znaczy | Log debugowania ujawnia ścieżki, błędy i potencjalnie dane. |
| Kiedy powstaje | GET /wp-content/debug.log: status == 200 i niepusta treść po strip() (check "200+nonempty"). Nie szuka wzorców typu 'PHP Warning'.Ocena :211-212. Helper daje urgent, polityka nadpisuje na high. |
| Severity · pewność | Wysoka · Ewidentne |
| Skutek dla strony | otwarta podatność · zakłada Finding · alarm nie |
| Waga → ocena | waga 3 → ocena 5–6 (żółty) |
| Klasyfikacja | CWE: CWE-532 (Insertion of Sensitive Information into Log File)OWASP Top 10:2025: A09:2025 Security Logging and Alerting FailuresMITRE ATT&CK 19.2: T1552.001 Unsecured Credentials: Credentials In Files (warunek)OWASP ASVS 5.0.0: 16.4.2OCSF 1.9.0: Vulnerability Finding (class_uid 2002) |
| Rekord OCSF | finding_info.analytic.uid = "B37.01" · analytic.name = "exposure_debug_log" · finding_info.types = ["B37 Ekspozycja debug.log"] |
| Co zrobić | Wyłącz WP_DEBUG_LOG na produkcji i usuń plik. |
| Wersje typu |
|
LOOP
bez pętliTrafności jeszcze nie liczymy: zamknięcie subtaska nie niesie dziś werdyktu (prawdziwy / fałszywy / nie dało się sprawdzić). Cztery liczby pojawią się, gdy każde zamknięcie dostanie werdykt — to warunek startu pętli 1.
Ten parametr nie przeszedł jeszcze żadnej pętli. Kolejność po pierwszych pięciu grupach ustali miara trafności.