Wtyczka administracyjna niezweryfikowana
ważność średniamierzonysposób unverified_admin_plugin
Wtyczka z uprawnieniami administracyjnymi nieznanego pochodzenia — spoza katalogu wordpress.org i listy znanych dostawców.
Test Agentów AI (02.10): audyt strony z dostępem sprawdza aktywne wtyczki spoza wordpress.org i listy premium, które dodają strony panelu z uprawnieniem administratora.
WIKI
wiedza ze źródeł zewnętrznychArtykuł o parametrze „Wtyczka administracyjna niezweryfikowana” jest w przygotowaniu. Powstaje po kolei dla wszystkich 87 parametrów, każde twierdzenie z przypisem do źródła.
STATS
wyniki z systemu · tylko liczby zbiorczeTen parametr nie zapisuje odczytu per strona — przebieg zostawia tylko ustalenia, więc liczby sprawdzonych stron i wyników „ok” system nie ma. Pojawią się po wdrożeniu zapisu przebiegów per strona per parametr.
Ten parametr nie otworzył jeszcze żadnego ustalenia w bazie LAB247. Pusto nie znaczy „czysto” — znaczy, że nic nie przekroczyło reguły.
Harmonogram nie zapisał jeszcze przebiegu ze sposobem „unverified_admin_plugin”. Zapis przebiegów z n8n działa od 2026-09-14.
CARD
karta z kodu CREATO_PING, odczyt 02.10.2026Jak ten parametr trafia do ClickUpa: wynik sondy to linia w subtasku 2. Pomiar, a usterka, którą otwiera — linia w subtasku 1. Podsumowanie (z identyfikatorem CWE i kategorią OWASP), skąd liczy się wskaźnik zagrożenia i status strony. Projekcja z bazy skanera odświeża oba subtaski co godzinę. Do 22.09 każde ustalenie dostawało własny subtask i status ze starego słownika (PODATNA, WARNING…) — te słowa zostały jeszcze w części opisów pomiaru niżej jako język wewnętrzny sond.
| Obszar i ważność | Bezpieczeństwo · średnia (B47) |
|---|---|
| Workflow i częstotliwość | agenci_ai działa na LAB247Audyt AI strony z dostępem (Admin → Strony → Agenci AI) — na żądanie, przy każdym audycie · Od 2026-10-02 (właściciel: testy wymagające dostępu robią Agenci AI): agent mierzy na produkcji klienta wyłącznie odczytem (CREATO_PING audyt-strony, Krok 2b) i oddaje Result skanerowi (`POST /agent-results`). Data wyniku = data audytu. |
| Sonda i helper | sposób unverified_admin_plugin · CREATO_PING/helpers/agenci_ai.py |
| Testy |
|
| Typ wyniku | Result agenta: ok | fail z Findingiem | nie_dalo_sie_sprawdzic z przyczyną; liczby pomiaru w `measured` |
| Jednostka | liczby z bazy albo listy wtyczek strony (pole measured Resultu) |
| Próg i reguła | Reguła: aktywna wtyczka spoza wordpress.org i spoza listy premium, która dodaje strony panelu z uprawnieniem administratora = wtyczka_administracyjna_niezweryfikowana (normalna, niepewna, do weryfikacji; waga 3). |
| Gdzie leżą pokrętła | CREATO_PING/.claude/skills/audyt-strony/SKILL.md → Krok 2b (progi)CREATO_PING/config/incident_policy.toml → [finding] wtyczka_administracyjna_niezweryfikowanaCREATO_PING/skaner/agent_results.py → TESTS |
| Retencja odczytów | Surowy pomiar jako NIEZMIENNY wiersz tabeli `odczyty` w bazie skanera (wejście, wyjście, dowody, sha karty sondy i helpera, commit kodu) — trigger odrzuca każdą zmianę. Okno retencji z kohorty: 90 dni premium, 30 dni reszta; poza oknem zostają odczyty z werdyktem problemu, akcją albo etykietą, bo replay reguł ich potrzebuje (`skaner/retencja.py`). Poza odczytem zostaje werdykt w tabeli `werdykty`. Panel klienta LAB247 czyta najnowszy odczyt na żądanie (`GET /latest-readings`). |
| Znane rozbieżności |
|
| Karta przepisana z | CREATO_PING/skaner/agent_results.py · CREATO_PING/.claude/skills/audyt-strony/SKILL.md · CREATO_PING/config/incident_policy.toml · CREATO_PING/skaner/usterki.toml · odczyt 02.10.2026 |
wtyczka_administracyjna_niezweryfikowana: bramka polityki otwarta (gate=true) → sprawa w skanerze → Wtyczka administracyjna nieznanego pochodzenia — waga 3 → ocena 5–6 (żółty), status strony „sredni”, dopóki sprawa jest otwarta. Result od agenta trafia do skanera jako odczyt z werdyktem; panel klienta LAB247 pokazuje datę audytu. Sprawę za ten typ zakłada agent jak za każdy nowy problem (Krok 4 audytu) — sama trasa jej nie zakłada.
| Kod | Finding | Severity | Pewność | Skutek | Finding / alarm | Waga → ocena | Co zrobić |
|---|---|---|---|---|---|---|---|
| B47.01 | Wtyczka administracyjna nieznanego pochodzeniawtyczka_administracyjna_niezweryfikowana | Średnia | — | do weryfikacji | tak / — | waga 3 → ocena 5–6 (żółty) | — |
| Kod i klucz | B47.01 · wtyczka_administracyjna_niezweryfikowana → unverified_admin_plugin (klucz angielski przyjęty 01.10; skaner nadaje jeszcze stary) · w tabeli typów |
|---|---|
| Co znaczy | opis do opracowania |
| Kiedy powstaje | Test Agentów AI unverified_admin_plugin (od 02.10, audyt strony z dostępem SSH, tylko odczyt): wp plugin list --status=active; wtyczka spoza wordpress.org (API plugins/info 404) i spoza listy premium Creato, w której kodzie są add_menu_page/add_submenu_page/add_options_page albo manage_options = Finding. Agent oddaje Result przez POST /agent-results. Dawna droga: alias unverified_admin_plugin z historycznego audytu AI. |
| Severity · pewność | Średnia |
| Skutek dla strony | do weryfikacji · zakłada Finding |
| Waga → ocena | waga 3 → ocena 5–6 (żółty) |
| Klasyfikacja | CWE: CWE-1357 (Reliance on Insufficiently Trustworthy Component)OWASP Top 10:2025: A03:2025 Software Supply Chain FailuresOWASP ASVS 5.0.0: 15.2.4OCSF 1.9.0: Compliance Finding (class_uid 2003) |
| Rekord OCSF | finding_info.analytic.uid = "B47.01" · analytic.name = "unverified_admin_plugin" · finding_info.types = ["B47 Wtyczka administracyjna niezweryfikowana"] |
| Co zrobić | — |
| Wersje typu |
|
LOOP
bez pętliTrafności jeszcze nie liczymy: zamknięcie subtaska nie niesie dziś werdyktu (prawdziwy / fałszywy / nie dało się sprawdzić). Cztery liczby pojawią się, gdy każde zamknięcie dostanie werdykt — to warunek startu pętli 1.
Ten parametr nie przeszedł jeszcze żadnej pętli. Kolejność po pierwszych pięciu grupach ustali miara trafności.