Offene WordPress-Endpunkte

WordPress-Routen, die jedem antworten: die Users-Route listet die Login-Namen aller Autoren, und xmlrpc.php ist der Endpunkt, über den Passwörter geraten werden, weil er viele Versuche pro Anfrage erlaubt.

• Hilfe

WordPress bringt einige öffentliche Endpunkte mit, die für Integrationen praktisch sind – und für Angreifer genauso. Die Zeile erscheint nur, wenn SiteScan die Seite als WordPress erkannt hat und mindestens einer davon geantwortet hat; sie ist also immer ein Befund.

• user-enumeration – /wp-json/wp/v2/users lieferte eine Liste von Autoren mit slug, der meist dem Login-Namen entspricht. Die halbe Arbeit beim Passwortraten ist damit erledigt.
• xmlrpc – /xmlrpc.php ist aktiv. Seine Methode system.multicall packt Hunderte Anmeldeversuche in eine Anfrage, weshalb Brute-Force-Tools sie dem Login-Formular vorziehen.
• readme – /readme.html existiert noch und nennt die genaue WordPress-Version, was die passenden öffentlichen Exploits eingrenzt.

Der Scan liest nur die Antworten: ein Array von Benutzerobjekten, die Meldung „XML-RPC server accepts POST requests only“, eine Versionsnummer in der Readme. Ein 401, ein leeres Array oder ein 404 gelten als geschlossen. Eine liegen gebliebene wp-config.php.bak erscheint unter vom Deploy hinterlassen.

So beheben Sie es

Deaktivieren Sie XML-RPC, sofern Jetpack oder die Mobil-App es nicht brauchen (per Sicherheits-Plugin oder Sperre von xmlrpc.php am Server), beschränken Sie die Users-Route auf angemeldete Anfragen und löschen Sie readme.html nach jedem Update. Halten Sie WordPress aktuell – siehe CMS-Erkennung.