ARK. B07Parametr monitoringuBezpieczeństwo · lista 87 parametrów

Luki wtyczek i motywów

ważność krytycznamierzonysposób vuln_match

Wykryte wtyczki i motywy porównane z bazą znanych CVE (feed Wordfence). Konkretna podatność z numerem CVE i wersją.

Do 2026-10-01 „Dopasowanie podatności”; luki rdzenia przeszły do B42, nieaktualne wersje do B43.

ARK. 1

WIKI

artykuł z 16.09.2026 · źródeł 10

Dopasowanie podatności to parametr monitoringu stron WordPress, który zestawia komponenty wykryte na stronie (rdzeń, wtyczki i motywy) oraz ich wersje z bazą znanych podatności. Wynikiem jest lista wpisów, w których zakres wersji podatnych obejmuje wersję wykrytą, albo brak dopasowania. Bazy podatności WordPressa opisują każdy wpis typem oprogramowania (core, plugin albo theme), jego identyfikatorem (slugiem) i zbiorem wersji podatnych ^[4]. Gdy wersji nie udało się ustalić, dopasowanie po zakresie jest niemożliwe; pozostają tylko wpisy obejmujące każdą wersję, oznaczone gwiazdką ^[4].

Jak działa

Pomiar ma dwa etapy: rozpoznanie oprogramowania i porównanie z bazą. Strona nie publikuje listy wtyczek, więc sonda z zewnątrz wnioskuje o nich pośrednio. Jednym tropem są adresy zasobów. Funkcja wp_enqueue_script dopisuje do adresu skryptu numer wersji jako parametr zapytania, który służy do unieważniania pamięci podręcznej ^[7]. Gdy wtyczka przekaże tu wartość false, WordPress wstawia własną wersję rdzenia, a przy null numer nie pojawia się wcale ^[7]. Parametr ?ver= bywa więc numerem wtyczki, numerem rdzenia albo niczym.

Drugim tropem jest plik readme.txt. W katalogu WordPress.org pole Stable Tag wskazuje stabilną wersję wtyczki, a katalog szuka jej w podkatalogu /tags/ ^[6]. Sam numer wersji wyznacza jednak nagłówek głównego pliku PHP, nie nazwa katalogu ani readme ^[6]. Stable Tag jest więc wskazówką, nie dowodem, i może różnić się od wersji faktycznie zainstalowanej.

RYS. 1.1Rozpoznanie wersji i zapytanie do bazy

Porównanie korzysta ze struktury wpisu. Zakres wersji zapisany jest jako pojedyncza wersja, zakres albo przedział z nawiasami otwartymi lub domkniętymi, a pola from_inclusive i to_inclusive mówią, czy granice należą do zakresu ^[4]. Gwiazdka oznacza dowolną wersję ^[4]. Wpis podaje też, czy istnieje poprawka, i listę wersji, które ją zawierają ^[4].

RYS. 1.2Od wykrycia komponentu do dopasowania

Standardy i specyfikacje

CVE. Program CVE identyfikuje, definiuje i kataloguje publicznie ujawnione podatności, a każdej odpowiada jeden rekord CVE ^[1]. Rekordy przydzielają i publikują organizacje partnerskie ^[1]. Opis zawiera typ podatności, producenta i dotknięty kod ^[2].
NVD. Rekordy CVE trafiają do NVD zwykle w ciągu godziny, a wzbogacanie o CVSS v4.0 i v3.1, CWE oraz kryteria CPE trwa różnie długo i obejmuje określony zakres rekordów ^[2]. NVD zaznacza, że w kryteriach wersji podatnego oprogramowania mogą być luki ^[2].
CVSS v3.1. Specyfikacja FIRST dzieli metryki na grupy Base, Temporal i Environmental; wynik bazowy zakłada rozsądnie najgorszy skutek w dowolnym środowisku ^[3]. Metryka Privileges Required rozróżnia atak bez uprawnień, z uprawnieniami zwykłego użytkownika i z uprawnieniami administracyjnymi ^[3]. Skala jakościowa: Low 0,1–3,9, Medium 4,0–6,9, High 7,0–8,9, Critical 9,0–10,0 ^[3].
Wordfence Intelligence. Feed udostępnia wersję Production z pełnymi rekordami i Scanner z danymi do wykrywania; wymaga klucza API i przy zbyt częstych zapytaniach odpowiada kodem 429 ^[4]. Pole cve może mieć wartość null, a CVSS występuje w wersjach 3.0 i 3.1 ^[4].
WPScan. Druga baza, udostępniana przez API; plan bezpłatny daje 25 zapytań dziennie, a skan zużywa jedno zapytanie na wersję WordPressa, każdą wtyczkę i motyw ^[5].

Zagrożenia i skutki

Błędna wersja. Dopasowanie jest tak dobre jak odczyt wersji. Numer rdzenia wstawiony do zasobu wtyczki ^[7] albo Stable Tag rozjechany z nagłówkiem PHP ^[6] dają fałszywe dopasowanie albo przeoczenie. Wykrywanie z zewnątrz jest niepełne także z definicji: WPScan domyślnie wykrywa wtyczki pasywnie i do pełniejszej enumeracji wymaga osobnego ustawienia ^[5].

Fałszywe dopasowania przy wielu gałęziach. Wpis może zawierać kilka zakresów, a poprawka może trafić do kilku wersji naraz ^[4]. Gdy producent przenosi poprawkę do starszej gałęzi (backport), porównanie wyłącznie z najwyższą wersją z poprawką uzna załataną starszą gałąź za podatną.

Wtyczki spoza katalogu. Konwencja Stable Tag dotyczy katalogu WordPress.org ^[6]. Wtyczki komercyjne rozprowadzane poza nim nie muszą jej stosować, więc ich wersja z zewnątrz bywa nieznana.

Wtyczki zamknięte. Zamknięta wtyczka przestaje być dostępna do pobrania, a wśród powodów zamknięcia jest problem bezpieczeństwa ^[8]. Szczegóły są przekazywane tylko autorom i zespołowi bezpieczeństwa ^[8]. Wpis bez poprawki oznacza, że aktualizacja nie usunie podatności ^[4].

Priorytety. CVSS nie ujmuje czynników organizacyjnych, które trzeba dołożyć przy decyzji o naprawie ^[3]. Katalog KEV zbiera podatności wykorzystywane w praktyce i jest zalecany jako wejście do priorytetyzacji ^[9]. EPSS szacuje prawdopodobieństwo wykorzystania opublikowanej CVE w ciągu 30 dni i publikuje je codziennie ^[10]. Wpisy oznaczone jako informacyjne mają bardzo ograniczony albo żaden realny wpływ ^[4].

Przykłady

Sytuacja	Co widać z zewnątrz	Wynik dopasowania
Wersja w zakresie podatnym	Stable tag lub `?ver=` wewnątrz przedziału wpisu ^[4] ^[6]	podatna
Wersja z listy poprawek	numer równy wersji z `patched_versions` ^[4]	załatana
Zasób zarejestrowany bez wersji	`?ver=` równe wersji rdzenia ^[7]	ryzyko fałszywego dopasowania
Podatność bez numeru CVE	wpis z `cve` równym null ^[4]	dopasowanie po identyfikatorze bazy
Wtyczka zamknięta, brak poprawki	brak pobrania w katalogu, `patched` równe false ^[8] ^[4]	podatna bez ścieżki aktualizacji
Wtyczka spoza katalogu	brak Stable Tag ^[6], zasoby bez `?ver=` ^[7]	nierozstrzygnięte
CVE w katalogu KEV	ten sam odczyt wersji, wyższy priorytet ^[9]	podatna, pilna

TAB. 1.1Przypisy10

[1] Overview — About the CVE Program · CVE Program
[2] CVEs and the NVD Process · NIST (National Vulnerability Database)
[3] CVSS v3.1 Specification Document · FIRST
[4] V3: Accessing and Consuming the Vulnerability Data Feed · Wordfence (Defiant)
[5] WPScan — README · WPScan Team
[6] How Your Plugin Readme File Works · WordPress Developer Resources
[7] wp_enqueue_script() — Function Reference · WordPress Developer Resources
[8] Plugin Alerts and Warnings · WordPress Developer Resources
[9] Known Exploited Vulnerabilities Catalog · CISA
[10] Exploit Prediction Scoring System (EPSS) · FIRST

ARK. 2

STATS

wyniki z systemu · tylko liczby zbiorcze

TAB. 2.1Odczyty per strona—

Ten parametr nie zapisuje odczytu per strona — przebieg zostawia tylko ustalenia, więc liczby sprawdzonych stron i wyników „ok” system nie ma. Pojawią się po wdrożeniu zapisu przebiegów per strona per parametr.

TAB. 2.3Ustalenia—

Ten parametr nie otworzył jeszcze żadnego ustalenia w bazie LAB247. Pusto nie znaczy „czysto” — znaczy, że nic nie przekroczyło reguły.

TAB. 2.4Przebiegi z tym sposobem sprawdzeniaod 09.09.2026

Przebiegów: 33sposób vuln_match
W 30 dni: 0przebiegów
Ostatni: 19.09.2026start przebiegu
Stron w przebiegach: —33 przebiegów bez liczby stron

ARK. 3

CARD

karta z kodu CREATO_PING, odczyt 01.10.2026

Jak ten parametr trafia do ClickUpa: wynik sondy to linia w subtasku 2. Pomiar, a usterka, którą otwiera — linia w subtasku 1. Podsumowanie (z identyfikatorem CWE i kategorią OWASP), skąd liczy się wskaźnik zagrożenia i status strony. Projekcja z bazy skanera odświeża oba subtaski co godzinę. Do 22.09 każde ustalenie dostawało własny subtask i status ze starego słownika (PODATNA, WARNING…) — te słowa zostały jeszcze w części opisów pomiaru niżej jako język wewnętrzny sond.

RYS. 3.1Droga parametru przez system: Luki wtyczek i motywów

TAB. 3.1Pomiarpliki: 13

Obszar i ważność	Bezpieczeństwo · krytyczna (B07)
Workflow i częstotliwość	creato_ping_security_v2 · P3 działa na LAB247Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4) · Dokładny skan. dns_integrity porównuje NS, MX, SPF i DMARC z wzorcem z poprzedniego przebiegu.
Sonda i helper	sposób vuln_match · CREATO_PING/helpers/vuln_match.py
Testy	Gdzie chodzi: rytm p3 (premium co 6 h; dostęp i priorytet T1–T3 co 24 h, T4 co 9 dni; bez priorytetu co 9 dni) i badanie kohort zestawami premium_pelny i tani_ciezki (tura „podatnosci”, tylko gdy wp_fingerprint dał ok); ręcznie także zestaw ecommerce. tani_lekki i p4 go nie mają. Wejście: wtyczki i motywy z wp_fingerprint tego samego przebiegu (54 popularne slugi, do 20 slugów z HTML, przestrzenie nazw REST; motyw aktywny, widziane i nadrzędny). Fingerprint niewiarygodny (za CDN bez rdzenia i wtyczek) = brak dopasowania. Porównanie z lokalnym indeksem feedu Wordfence po slugu i typie wpisu (plugin albo theme — motyw i wtyczka o tym samym slugu się nie mieszają); wpisy informacyjne pominięte. Wersja w zakresie affected_versions = luka aktywna; wersja nie niższa niż granica poprawki = wpis „załatana” (patched=true). Powaga z CVSS (≥ 9,0 pilna, 7,0–8,9 wysoka, 4,0–6,9 normalna, niżej niska, brak oceny = brak powagi); CVE z katalogu CISA KEV albo z EPSS ≥ 0,1 podnosi aktywną lukę o jeden poziom (kev_epss.py). Opcjonalna eskalacja do WPScan dla wtyczek i motywów z wersją, których Wordfence nie zna (CREATO_PING_WPSCAN_ESCALATE, budżet 25 zapytań na dobę); w premium_pelny osobna tura „eskalacja_cve”, tylko z usługami zewnętrznymi. Z aktywnych luk powstaje podsumowanie wersji: „Krytyczne: N” = wtyczki i motywy z co najmniej jedną luką pilną.
Typ wyniku	lista dopasowań wtyczek i motywów: vuln_cve na każdy wpis Wordfence (aktywny albo załatany — flaga patched), z komponentem (wtyczka, motyw), tytułem, identyfikatorem Wordfence, CVE, CVSS, uprawnieniami, brakiem łatki i znacznikami KEV/EPSS
Jednostka	brak — wynik jakościowy; CVSS 0,0–10,0 jako waga
Próg i reguła	Reguła, nie próg: wersja w zakresie podatnym = vuln_cve aktywna; nieznana wersja pasuje tylko do wpisów „każda wersja”. Podsumowanie: N wtyczek z luką pilną → min(N, 3) atomów vuln_cve_krytyczna.
Gdzie leżą pokrętła	CREATO_PING/helpers/vuln_match.py → match_one_plugin, _version_matches, _wzmocnienie, _podbij, escalate_fpCREATO_PING/helpers/wordfence_feed.py → _severity_from_cvssCREATO_PING/helpers/kev_epss.py → EPSS_PROG (0,1)CREATO_PING/helpers/version_summary.py → build_summary (plugin_critical_count)CREATO_PING/skaner/ocena.py → rozloz_version_summary, LIMIT_INSTANCJI (3)CREATO_PING/config/incident_policy.toml → [finding] vuln_cve
Retencja odczytów	Surowy pomiar jako NIEZMIENNY wiersz tabeli `odczyty` w bazie skanera (wejście, wyjście, dowody, sha karty sondy i helpera, commit kodu) — trigger odrzuca każdą zmianę. Okno retencji z kohorty: 90 dni premium, 30 dni reszta; poza oknem zostają odczyty z werdyktem problemu, akcją albo etykietą, bo replay reguł ich potrzebuje (`skaner/retencja.py`). Do LAB247 ten kanał nie idzie (do bazy serwisu jadą dziś tylko sprawdzenia dostępności), więc poza odczytem zostaje werdykt w tabeli `werdykty` i sprawa w tabeli `sprawy`.
Znane rozbieżności	Rozkład podsumowania nie wydaje atomu vuln_cve, choć `usterki.toml` wymienia go w kontenerze — luka niepilna wchodzi do oceny jako „nieaktualna”, a łańcuch luka_dla_zarejestrowanych domyka tylko luka krytyczna. Wpis załatany dostaje ten sam typ vuln_cve co luka aktywna (różni je tylko pole patched): wszystko, co liczy ustalenia po typie, liczy też luki już załatane. Katalog obiecuje numer CVE, a w feedzie pole cve bywa puste — wtedy zostaje identyfikator Wordfence. kandydaci do pętli: kod a opis parametru albo specyfikacja
Karta przepisana z	CREATO_PING/helpers/vuln_match.py · CREATO_PING/helpers/wordfence_feed.py · CREATO_PING/helpers/kev_epss.py · CREATO_PING/helpers/wp_fingerprint.py · CREATO_PING/helpers/version_summary.py · CREATO_PING/helpers/security_runner.py · CREATO_PING/helpers/security_testy.py · CREATO_PING/skaner/strona.py · CREATO_PING/skaner/kohorty.toml · CREATO_PING/skaner/scenariusze/premium_pelny.toml · CREATO_PING/config/incident_policy.toml · CREATO_PING/skaner/usterki.toml · CREATO_PING/skaner/ocena.py · odczyt 01.10.2026

TAB. 3.2Co oznacza failtypów Findingów: 3

vuln_cve: bramka polityki zamknięta (gate=false) — zostaje odczyt i werdykt „bez_subtaska” w bazie skanera, sprawa nie powstaje, więc usterka „Wtyczka lub motyw z luką niekrytyczną” (waga 3) nie wchodzi do wskaźnika strony. Do wskaźnika luki wtyczek i motywów wchodzą przez podsumowanie wersji (sprawa `version_summary`, kontener rozkładany przez `ocena.py`): „Krytyczne: N” daje min(N, 3) atomów `vuln_cve_krytyczna` (waga 4 = Wysoki), a od 10.10 „Luki niekrytyczne: L” daje min(L, 3) atomów `vuln_cve` (waga 3 = Średni); obie liczby są odejmowane od „Nieaktualne wtyczki”, więc wtyczka z luką nie liczy się drugi raz jako `outdated_plugin` (waga 2). Podsumowanie zapisane przed 10.10 (bez „Luki niekrytyczne”) liczy wtyczkę z luką niepilną po staremu jako `outdated_plugin`, dopóki godzinny `creato-ping-vulns` go nie przepisze. Komplet z otwartą rejestracją kont daje łańcuch `luka_dla_zarejestrowanych` (waga 4).

Kod	Finding	Severity	Pewność	Skutek	Finding / alarm	Waga → ocena	Co zrobić
B07.01	CVE we wtyczce lub motywievuln_cve	Wysoka	Ewidentne	otwarta podatność	nie / nie	waga 3 → ocena 5–6 (żółty)	Zaktualizuj do wersji z poprawką.
B07.02	Wtyczka lub motyw z luką krytyczną (CVSS ≥ 9 albo o poziom niżej + KEV/EPSS ≥ 0,1)vuln_cve_krytyczna	—	—	—	— / —	waga 4 → ocena 7–8 (pomarańczowy)	—
B07.03	Wtyczki poza zasięgiem dopasowania lukwtyczki_poza_skanem_luk	—	—	—	— / —	waga 2 — monitoring, oceny nie obniża	—

TAB. 3.3B07.01 · CVE we wtyczce lub motywiewersja 2 · 01.10.2026

Kod i klucz	B07.01 · vuln_cve · w tabeli typów
Co znaczy	Wykryta wersja wtyczki lub motywu ma znaną podatność (feed Wordfence).
Kiedy powstaje	Tylko p3 i fingerprint nie 'unreliable'. Dla każdej wtyczki (sw_type plugin) i każdego motywu (aktywny + widziane w HTML, sw_type theme) szuka wpisów indeksu Wordfence po slugu (bez wpisów informational); finding 🔴 ACTIVE (patched=False), gdy wersja mieści się w affected_versions (operatory < <= > >= = porównywane liczbowo z dopełnieniem zerami; {} lub {'':''} = każda wersja, także nieznana). Emitowany też jako 🟢 PATCHED (patched=True), gdy wersja ≥ dolnej granicy zakresu (albo górnej, gdy brak dolnej). Severity z CVSS: ≥9,0 urgent, ≥7,0 high, ≥4,0 normal, >0 low, brak/0 → None; przy KEV lub EPSS ≥ 0,1 aktywna luka o jeden poziom wyżej.PATCHED: vuln_match.py:259. Drugie źródło: eskalacja WPScan (env CREATO_PING_WPSCAN_ESCALATE=1, tylko slugi nieznane Wordfence z parsowalną wersją; GET https://wpscan.com/api/v3/{plugins\|themes}/{slug}; podatna gdy introduced_in ≤ wersja < fixed_in) — helpers/wpscan_lookup.py:189. W skanerze vuln_cve NIE jest atomem z kontenera version_summary (rozloz_version_summary go nie zwraca, mimo opisu w usterki.toml); dochodzi tylko jako surowy finding (gate=false) albo przez alias audyt_theme_cve_and_xmlrpc.
Severity · pewność	Wysoka · Ewidentne
Skutek dla strony	otwarta podatność · tylko statystyka (gate=false) · alarm nie
Waga → ocena	waga 3 → ocena 5–6 (żółty)
Klasyfikacja	CWE: CWE-1395 (Dependency on Vulnerable Third-Party Component)OWASP Top 10:2025: A03:2025 Software Supply Chain FailuresMITRE ATT&CK 19.2: T1190 Exploit Public-Facing Application (warunek)OWASP ASVS 5.0.0: 15.2.1OCSF 1.9.0: Vulnerability Finding (class_uid 2002)
Rekord OCSF	finding_info.analytic.uid = "B07.01" · analytic.name = "vuln_cve" · finding_info.types = ["B07 Luki wtyczek i motywów"]
Co zrobić	Zaktualizuj do wersji z poprawką.
Wersje typu	v1 · 01.10.2026 — kod B07.01 nadany (finding-codes.ts) v2 · 01.10.2026 — waga usterki 3 → 2 (luka niekrytyczna = ocena 3–4, jak w skaner/usterki.toml od 23.09) (doc/stan.md 2026-10-01 (12))

TAB. 3.4B07.02 · Wtyczka lub motyw z luką krytyczną (CVSS ≥ 9 albo o poziom niżej + KEV/EPSS ≥ 0,1)wersja 1 · 01.10.2026

Kod i klucz	B07.02 · vuln_cve_krytyczna → vuln_cve_critical (klucz angielski przyjęty 01.10; skaner nadaje jeszcze stary) · w tabeli typów
Co znaczy	opis do opracowania
Kiedy powstaje	Tylko atom skanera (żaden helper nie emituje go jako finding_type): z tytułu version_summary regex Krytyczne:\s*(\d+); liczba = plugin_critical_count = liczba odrębnych slugów (wtyczek LUB motywów) mających ≥1 aktywną lukę o severity 'urgent' (CVSS ≥ 9,0 albo high podbite przez KEV/EPSS ≥ 0,1). Atom powtórzony min(liczba, 3) razy; 0 = brak atomu.Liczenie: helpers/version_summary.py:205–208 i 250. Katalog (usterki.toml) mówi „jeden atom na parę wtyczka×luka”, a kod liczy odrębne slugi. Ścieżka panelu: sprawa niezamknięta i status ≠ NOWA/NIEZBADANA (ocena.py:287, 326); ścieżka badania: wprost z odczytu version_summary (skaner/strona.py:212). Alias audyt_vuln_unauth_sqli → ten atom.
Severity · pewność	—
Skutek dla strony	— · brak w polityce
Waga → ocena	waga 4 → ocena 7–8 (pomarańczowy)
Klasyfikacja	CWE: CWE-1395 (Dependency on Vulnerable Third-Party Component)OWASP Top 10:2025: A03:2025 Software Supply Chain FailuresMITRE ATT&CK 19.2: T1190 Exploit Public-Facing Application (warunek)OWASP ASVS 5.0.0: 15.2.1OCSF 1.9.0: Vulnerability Finding (class_uid 2002)
Rekord OCSF	finding_info.analytic.uid = "B07.02" · analytic.name = "vuln_cve_critical" · finding_info.types = ["B07 Luki wtyczek i motywów"]
Co zrobić	—
Wersje typu	v1 · 01.10.2026 — kod B07.02 nadany (finding-codes.ts)

TAB. 3.5B07.03 · Wtyczki poza zasięgiem dopasowania lukwersja 1 · 01.10.2026

Kod i klucz	B07.03 · wtyczki_poza_skanem_luk → plugins_outside_cve_scan (klucz angielski przyjęty 01.10; skaner nadaje jeszcze stary) · w tabeli typów
Co znaczy	opis do opracowania
Kiedy powstaje	Nie emitowany przez żaden kod. Do skanera trafia tylko przez alias plugins_outside_cve_scan → ["wtyczki_poza_skanem_luk"] z historycznych danych audytu AI.nie emitowany: tylko wpis w katalogu (skaner/usterki.toml:241, standardy.toml:152); brak wpisu w incident_policy.toml.
Severity · pewność	—
Skutek dla strony	— · brak w polityce
Waga → ocena	waga 2 — monitoring, oceny nie obniża
Klasyfikacja	OCSF 1.9.0: poza klasami Findingu
Rekord OCSF	finding_info.analytic.uid = "B07.03" · analytic.name = "plugins_outside_cve_scan" · finding_info.types = ["B07 Luki wtyczek i motywów"]
Co zrobić	—
Wersje typu	v1 · 01.10.2026 — kod B07.03 nadany (finding-codes.ts)

ARK. 4

LOOP

pętli: 5

RYS. 4.1Pętla parametru — sześć etapów

TAB. 4.1Trafność, 30 dnialarmy · prawdziwe · fałszywe · bez rozstrzygnięcia

Trafności jeszcze nie liczymy: zamknięcie subtaska nie niesie dziś werdyktu (prawdziwy / fałszywy / nie dało się sprawdzić). Cztery liczby pojawią się, gdy każde zamknięcie dostanie werdykt — to warunek startu pętli 1.

TAB. 4.2Pętle5 · zmian: 9 · wpływających na cały system: 4

Zakresy wersji z feedu v3 czytane poprawniezamknięta historyczna 2026-05-25

Sygnał: Po przejściu na feed Wordfence v3 każda wykryta wersja wychodziła jako podatna — w wynikach były wyłącznie aktywne luki.

1. Zbiórkaręcznieodczyt z nocnego skanu, bez zapisu per strona
2. Werdyktręcznieczłowiek zauważył same aktywne luki
3. Miarabrakliczników trafności wtedy nie było
4. Kartabrakkarta parametru powstała 2026-09-16
5. Zmianazrobionekonwersja zakresów v3 na operatory
6. Replaybrakbrak zapisanych odczytów do replayu

Data	Zmiana	Powód	Wpływ na system	Commit · replay
2026-05-25	Zakresy affected_versions z formatu v3 (granice od–do z flagą włączności) zamieniane na operatory porównania; kilka zakresów jednej podatności = osobne wpisy indeksu.helpers/wordfence_feed.py	Dopasowanie nie rozumiało struktury v3 i każdą wersję uznawało za podatną.	tylko ten parametr	82e3a58bez replayubez zapisu zatwierdzenia

Wersja rdzenia tylko z pewnych źródeł; ustalenia wersji bez subtaskówzamknięta historyczna 2026-07-18 → 2026-07-19

Sygnał: Nocny skan strony z wtyczką cache dał 145 ustaleń „CVE w rdzeniu”: wtyczki optymalizacji przepisywały ?ver= na zasobach rdzenia, a odczyty wersji były śmieciowe. · dotyczy też: Wersja WordPressa

1. Zbiórkaręcznieodczyt z nocnego skanu, bez zapisu per strona
2. Werdyktręcznieczłowiek rozpoznał śmieciowe wersje rdzenia
3. Miarabrakliczników trafności wtedy nie było
4. Kartabrakkarta parametru powstała 2026-09-16
5. Zmianazrobionepewne źródła wersji, bramka wyłączona
6. Replaybrakbrak zapisanych odczytów do replayu

Data	Zmiana	Powód	Wpływ na system	Commit · replay
2026-07-18	Wersja rdzenia tylko z meta generator, generatora feedu RSS albo readme.html; żaden ?ver= zasobu. Brak sygnału = wersja nieznana.helpers/wp_fingerprint.py	Fałszywa wersja z ?ver= dawała lawinę ustaleń; po zmianie 145 → 0 na stronie testowej i wypłynęły realne CVE wtyczek.	cały system Ta sama wersja rdzenia zasila parametr Wersja WordPressa.	6b624dfbez replayubez zapisu zatwierdzenia
2026-07-18	vuln_cve, vuln_wp_core, outdated_plugin i outdated_wp: gate=false i bez alarmu — bez subtasków do czasu ustalenia sposobu prezentacji.config/incident_policy.toml	Ustalenia per CVE zapchałyby tablicę zadań; od 2026-07-19 widoczny jest jeden subtask podsumowania wersji na stronę.	cały system Bramka obejmuje też outdated_wp z parametru Wersja WordPressa.	6b624dfbez replayubez zapisu zatwierdzenia
2026-07-19	Odczyt wersji rdzenia spoza wersji głównych 3–10 odrzucany; generator feedu RSS sprawdzany przed readme.html.helpers/wp_fingerprint.py	readme.html dawało zmyłkowy odczyt 2.7 na stronie z WordPressem 4.9.	cały system Dotyczy też parametru Wersja WordPressa — ten sam odczyt rdzenia.	343b699bez replayubez zapisu zatwierdzenia

Motywy dopasowywane do feeduzamknięta historyczna 2026-09-05

Sygnał: Research detekcji: feed Wordfence ma około 3100 wpisów motywów, a dopasowanie przechodziło tylko po wtyczkach — podatne motywy premium były niewidoczne.

1. Zbiórkaręcznieodczyt z nocnego skanu, bez zapisu per strona
2. Werdyktręcznieluka reguły potwierdzona w feedzie
3. Miarabrakliczników trafności wtedy nie było
4. Kartabrakkarta parametru powstała 2026-09-16
5. Zmianazrobionepętla po motywach, filtr typu
6. Replaybrakbrak zapisanych odczytów do replayu

Data	Zmiana	Powód	Wpływ na system	Commit · replay
2026-09-05	Dopasowanie obejmuje motywy (aktywny, widziane w HTML, nadrzędny) z filtrem typu wpisu; nieaktualny motyw = outdated_theme.helpers/vuln_match.py · helpers/wp_fingerprint.py · config/incident_policy.toml	Brak motywów był błędem konsumenta feedu, nie brakiem danych; filtr typu, bo wtyczka mieszała się z motywem o tej samej nazwie.	tylko ten parametr	b0fc77cbez replayubez zapisu zatwierdzenia
2026-09-05	Wpisy informacyjne pomijane; brak poprawki i wymagane uprawnienia z wektora CVSS dopisywane do ustalenia.helpers/vuln_match.py · helpers/wordfence_feed.py	121 wpisów informacyjnych bez realnego wpływu i około 11,6 tys. wpisów bez poprawki, których dopasowanie nie odróżniało.	tylko ten parametr	b0fc77cbez replayubez zapisu zatwierdzenia

Fałszywe CVE z błędnej wersji wtyczkizamknięta historyczna 2026-09-05

Sygnał: Fałszywe CVE WooCommerce na każdym sklepie (readme.txt wskazywał wersję niższą niż zainstalowana) i kilkadziesiąt wtyczek-widm na serwerach odpowiadających 200 na każdą ścieżkę.

1. Zbiórkaręcznieodczyt z nocnego skanu, bez zapisu per strona
2. Werdyktręcznieczłowiek porównał wersje z zainstalowanymi
3. Miarabrakliczników trafności wtedy nie było
4. Kartabrakkarta parametru powstała 2026-09-16
5. Zmianazrobionekolejność źródeł wersji, sonda soft-404
6. Replaybrakbrak zapisanych odczytów do replayu

Data	Zmiana	Powód	Wpływ na system	Commit · replay
2026-09-05	Kolejność źródeł wersji wtyczki: meta generator WooCommerce, readme.txt, na końcu ?ver= po odrzuceniu znacznika czasu i wersji rdzenia.helpers/wp_fingerprint.py	?ver= bywa wersją rdzenia albo znacznikiem pamięci podręcznej; readme WooCommerce wskazywało wersję niższą niż zainstalowana.	tylko ten parametr	b0fc77cbez replayubez zapisu zatwierdzenia
2026-09-05	Przed enumeracją zapytanie o readme.txt nieistniejącej wtyczki; odpowiedź 200 = enumeracja przez readme.txt pominięta.helpers/wp_fingerprint.py	Serwery z soft-404 dawały dziesiątki nieistniejących wtyczek i fałszywe dopasowania.	tylko ten parametr	b0fc77cbez replayubez zapisu zatwierdzenia

Feed nie zamarza na stałym ETagzamknięta historyczna 2026-09-12

Sygnał: Po przejściu na godzinowe odświeżanie feedu pomiar odpowiedzi Wordfence pokazał stały ETag dla każdej treści — zapytanie z If-None-Match dostawałoby 304 bez końca.

1. Zbiórkaręcznieodczyt z nocnego skanu, bez zapisu per strona
2. Werdyktręczniepomiar nagłówków odpowiedzi API
3. Miarabrakliczników trafności wtedy nie było
4. Kartabrakkarta parametru powstała 2026-09-16
5. Zmianazrobionezapytanie warunkowe bez ETag
6. Replaybrakbrak zapisanych odczytów do replayu

Data	Zmiana	Powód	Wpływ na system	Commit · replay
2026-09-12	Zapytanie warunkowe o feed wysyła tylko If-Modified-Since, bez If-None-Match.helpers/wordfence_feed.py	Stały ETag zamroziłby lokalną kopię feedu, a z nią dopasowanie do nowych podatności.	cały system Ten sam feed zasila publiczną listę podatności w serwisie.	d90c146bez replayubez zapisu zatwierdzenia