De meest recente versie van WordPress wordt geleverd met nieuwe REST-API-mogelijkheden die plugins, apps, diensten, of de core van WordPress kunt gebruiken.
De WordPress development team duwt nieuwe features van WordPress, de hele tijd. Veel van deze functies verbeteren van de functionaliteit van WordPress aanzienlijk.
Zo nu en dan wel, functies toegevoegd die problematisch zijn vanuit een admin of gebruiker oogpunt. Het belangrijkste probleem met de bulk van deze veranderingen is dat ze niet kunnen worden uitgeschakeld gemakkelijk. Ik heb een handicap Emojis en XML-RPC hier op deze site bijvoorbeeld.
De nieuwe REST API-functionaliteit bijvoorbeeld kunnen door iedereen gebruikt worden om een lijst van alle gebruikersaccounts van de WordPress installatie.
Op zich is dit niet voldoende om toegang te krijgen, maar zodra u meer weten over een site, u kunnen uitvoeren brute-force-aanvallen tegen de website, proberen te raden wachtwoorden, of het gebruik van social engineering om toegang te krijgen tot de site.
Om eerlijk te zijn, de nieuwe API niet bloot iets aan het publiek dat niet beschikbaar is die al ergens anders op de site.
Lijst van alle gebruikersaccounts
Om een lijst van alle gebruikersaccounts op een site die draait WordPress 4.7 (of nieuwere vermoedelijk), alles wat je hoeft te doen is het toevoegen /wp-json/wp/v2/user’s om de domeinnaam.
Je kan een filter instellen eerder in WordPress om het blokkeren van de toegang tot de informatie. Dit filter lijkt te zijn verwijderd in versie 4.7.
De enige optie die je hebt om te blokkeren de informatie wordt geopenbaard aan iedereen, is om een plugin te installeren die beschermt de site.
WordPress: het Blokkeren van anonieme REST API-toegang
Een vrij eenvoudige, maar effectieve plugin Uitschakelen REST API. Alles wat het doet is de terugkeer van een “niet onbevoegd” bericht voor anonieme verzoeken wilt weergeven REST API-gegevens.
De plugin wordt een foutbericht weergegeven voor de vragen die niet gemaakt zijn door een ingelogde gebruiker van de desbetreffende site.
Er is ook Wordfence, een plugin die een toegevoegde beveiliging opties en bescherming van WordPress sites.
Slotwoord
De gegevens die de REST API beschikbaar maakt om anonieme aanvragen is beschikbaar elders op het openbare gedeelte van WordPress al. De belangrijkste winst die aanvallers krijgen van het is dat het toont een overzicht van de data in een mooi formaat dat bespaart ze tijd, als ze niet hoeft te kruipen verschillende onderdelen van de site niet meer voor het ophalen van de informatie. (via Geboren Stad)