ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
edytor plików motywów i wtyczek
Wbudowany w panel WordPressa edytor kodu (Wygląd → Edytor plików motywu, Wtyczki → Edytor plików wtyczek), który pozwala administratorowi zmieniać pliki PHP prosto z przeglądarki. Stała define('DISALLOW_FILE_EDIT', true); w wp-config.php wyłącza go, żeby przejęte konto administratora nie dawało od ręki możliwości wykonania kodu na serwerze.
TAB. 1Nazwapo polsku
| Po angielsku | theme/plugin file editor (DISALLOW_FILE_EDIT) |
|---|---|
| Po polsku | edytor plików motywów i wtyczek |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | edytor plików motywu · edytor plików wtyczek · edytor motywów i wtyczek · wyłączenie edycji plików z panelu · DISALLOW_FILE_EDIT |
| Odmiana | edytor (r.m.): edytora, edytorem; „wyłączyć edytor plików”, „zablokować edycję plików z panelu” |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Sekurak w poradniku zabezpieczania WordPressa: „wyłączyć edytory szablonów oraz wtyczek”; hostingi (dhosting, cyber_Folks) — „wyłączenie edytora plików w panelu WordPressa”. |
|---|
TAB. 3Źródła4
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „powinna być wystarczającą motywacją do tego, by wyłączyć edytory szablonów oraz wtyczek (Listing 20). define( 'DISALLOW_FILE_EDIT', true );” | sekurak.pl |
| PL | „Wyłącza tylko edytor plików dostępny w panelu WordPress.” | dhosting.pl |
| PL | „wyłączenie edytora plików w panelu WordPressa (ze względów bezpieczeństwa)” | cyberfolks.pl |
| EN | „Setting this constant also disables the Plugin and Theme File editor” | developer.wordpress.org |
TAB. 4Obok w tej dziedzinie6
| CSP (Content Security Policy) | Content Security Policy (CSP) | Nagłówek określający, z jakich źródeł przeglądarka może wczytywać skrypty, style i inne zasoby, przez co ogranicza SKUTKI wstrzyknięcia obcego kodu (XSS) — jest warstwą ograniczającą szkody, a nie naprawą podatności po stronie serwera. |
| czyszczenie przejętej strony | site cleanup | Usunięcie ze strony złośliwego kodu, backdoorów i kont napastnika oraz przywrócenie pierwotnej treści, zakończone zamknięciem drogi, którą doszło do włamania — bez tego infekcja wraca. |
| default_role | default_role | Opcja WordPressa określająca rolę, którą dostaje każdy nowy użytkownik — zarejestrowany sam albo dodany przez administratora (Ustawienia → Ogólne → Domyślna rola nowych użytkowników). Razem z opcją users_can_register („Każdy może się zarejestrować”) tworzy jedno ryzyko: otwarta rejestracja z rolą domyślną wyższą niż Subskrybent pozwala każdemu założyć konto z uprawnieniami. |
| enumeracja użytkowników | user enumeration | Pozyskiwanie listy istniejących loginów aplikacji — w WordPressie m.in. przez archiwa autorów, adres /?author=1 i endpoint /wp-json/wp/v2/users, gdzie indziej przez różnicę w odpowiedziach dla konta istniejącego i nieistniejącego — jako przygotowanie do ataku na hasła. |
| escapowanie | escaping | Zakodowanie danych tuż przed wypisaniem ich na stronę, zależnie od kontekstu wyjścia (HTML, atrybut, URL, JavaScript), tak by przeglądarka potraktowała je jako tekst, a nie kod — podstawowa obrona przed XSS, wykonywana na wyjściu, a nie na wejściu. |
| fałszywa wtyczka | fake plugin / malicious plugin | Wtyczka WordPressa stworzona lub przerobiona w złym zamiarze — często podszywająca się pod znaną nazwę (np. Wordfence) albo obiecująca „optymalizację SEO” — która po instalacji tworzy konta administratorów, instaluje backdoor lub wstrzykuje złośliwy kod. Trafia na stronę przez przejęty panel admina, fałszywe maile „od zespołu WordPressa” albo z nieoficjalnych źródeł. |