A Rank Math WordPress beépülő modult azzal vádolják, hogy titokban elvette a rendszergazdai hozzáférést

Új állítások jelentek meg, miszerint a Rank Math bevezetett egy olyan funkciót, amely csendben rendszergazdai szintű engedélyeket ad a vállalatnak a WordPress webhelyeken. A hozzáférés akkor aktiválódik, amikor a felhasználó telepíti a Rank Math-ot, és megnyitja a beépülő modul Súgó és támogatás területét.

Állítólag nulla hozzájárulás vagy értesítés

A The SEO Framework SEO bővítmény fejlesztője a közelmúltban azt írta a Twitteren, hogy amikor a felhasználó megnyitja a Rank Math Súgó és támogatás szakaszát, a beépülő modul létrehoz egy WordPress-alkalmazásjelszót, amely ahhoz a felhasználóhoz van kötve, aki megnyitja a Súgó és támogatás részt. Tehát ha a beépülő modul adminisztrációs területén kattintgató felhasználó rendelkezik adminisztrátori jogosultságokkal, akkor a Rank Math által generált WordPress-alkalmazásjelszó örökli a rendszergazdai szintű jogosultságokat.

Sybere Waaijer elmagyarázta:

„Két nappal ezelőtt a Rank Math körülbelül egy tucat biztonsági problémát zárt le az 1.0.277-ben. Ez a bővítmény több mint 4 millió webhelyen fut.

Ugyanabban a frissítésben, csoportaz egyik (aki a WP Rocket tulajdonosa is) mostantól rendszergazdai jogosultságokat kap az Ön webhelyéhez.

Múltkor az ilyesmit a hátsó ajtók közé soroltam. Ezúttal Ön dönthet.

A fájl: vendor/groupone/wap-client/includes/class-app-password-manager.php.

Mit csinál:
Amikor egy webhely adminisztrátora, akinek a webhelye egy (ingyenes) rangmathhoz kapcsolódikcom-fiókjában megnyílik a „Súgó és támogatás”, a beépülő modul azonnal létrehoz egy WordPress-alkalmazásjelszót az adott felhasználó számára. Ezt a jelszót elküldi a csoportnaka szerverei. Az AI-ügynökük ezután eljárhat az Ön nevében az Ön webhelyén.”

WordPress alkalmazás jelszava

A WordPress-alkalmazásjelszavak a WordPress legális elemei, a WordPress magjának részét képezik, és olyasvalami, amit a bővítmények képesek tenni. Vannak még olyan irányelvek is, amelyek megmondják a beépülő modulok fejlesztőinek, hogyan hozhatnak létre WordPress-alkalmazásjelszavakat. Valószínűleg ezért óvta Sybre Waaijer attól, hogy a Rank Math tevékenységét a hátsó ajtónak minősítse.

A Rank Math nem kér engedélyt

A számos ok egyike, amiért Waaijer kifogásolja a Rank Math tevékenységét, és összefügg azzal, hogy a Rank Math hogyan állítja elő magának ezeket az engedélyszinteket.

Elmagyarázta:

"A beépülő modul soha nem kérdez először. Van egy "Feltételek" mező, de ez nem akadályozza meg a jelszó létrehozását vagy elküldését. Az átvitel megkezdődik, mielőtt a doboz megjelenne."

A felhasználói jogosultság be van építve a WordPress alkalmazásjelszófolyamába

A hivatalos WordPress dokumentáció meghatároz egy engedélyezési képernyőt, ahol a bővítmény azonosítja magát, a felhasználónak megjelenik a kapcsolat, és lehetőséget kap annak jóváhagyására vagy elutasítására. A specifikáció szerint az alkalmazásjelszó csak akkor kerül át a beépülő modulnak, ha azt a felhasználó jóváhagyta.

Képernyőkép az engedélyezési példáról

WordPress.org kifejezett hozzájárulási szabály

A WordPress beépülő modul irányelvei kifejezett beleegyezési szabályt írnak elő a külső szerverekre vonatkozóan. A hivatalos iránymutatások szerint a beépülő modulok nem léphetnek kapcsolatba külső szerverekkel „kifejezett és felhatalmazott beleegyezés” nélkül, amiben meg kell adni egy feliratkozási jelölőnégyzetet. Ezenkívül tiltják a felhasználói adatok automatikus gyűjtését kifejezett megerősítés nélkül.

Az irányelvek előírják:

„7. A beépülő modulok nem követhetik nyomon a felhasználókat a beleegyezésük nélkül.
A felhasználók adatainak védelme érdekében a beépülő modulok nem léphetnek kapcsolatba külső szerverekkel kifejezett és engedélyezett hozzájárulás nélkül. Ez általában "feliratkozási" módszerrel történik, amely regisztrációt igényel egy szolgáltatásnál, vagy egy jelölőnégyzetet a bővítmény beállításaiban. A felhasználói adatok gyűjtésére és felhasználására vonatkozó dokumentációt bele kell foglalni a bővítmény readme-jába, lehetőleg egyértelműen meghatározott adatvédelmi szabályzattal együtt.”

Az alkalmazásjelszavak visszavonható hitelesítő adatok

A WordPress úgy írja le az alkalmazásjelszavakat, mint amiket a felhasználó áttekinthet és visszavonhat.

„Az alkalmazásjelszavak a WordPress olyan funkciói, amelyek segítségével visszavonható, alkalmazásonkénti hitelesítő adatokat hozhat létre…

És is:

"Az alkalmazás jelszava:

Egyénileg visszavonható, így egyetlen integrációt is letilthat anélkül, hogy megváltoztatná a felhasználó elsődleges jelszavát."

Waaijer azt tanácsolta, hogyan kell visszavonni a Rank Math támogatási ügynök által kiváltott alkalmazásjelszót:

„A jelszó a profilodon „WAP – Rank Math Support Agent” néven jelenik meg. A „Súgó és támogatás” lap bezárása nem vonja vissza. Ez az alkalmazásjelszó nem jár le. A „Support Agent” nem kapcsolható ki.

Mit kell tenned:
Ha csatlakozás közben megnyitotta a „Súgó és támogatás” elemet, azonnal vonja vissza az alkalmazásjelszavakat.

Lépjen a "WP Admin -> Users -> Profile -> Application Passwords" menüpontra, és vonjon vissza mindent, ami a "WAP -" karakterrel kezdődik.

Felhasználói válaszok

A felhasználói reakciók végig negatívak voltak.

@tprinty tweetje jól példázza a felhasználók által a Rank Math iránt érzett haragot:

"Ez borzalmas. A WP-nek szüksége van a SEO-ra a mag részeként."

A panaszok törlésével vádolt rangsor Math

@CAwavehello elmondta, hogy a Rank Math vitafórumon nagy téma volt erről a témáról, és a vitát később törölték, feltehetően a Rank Math.

@CAwavehello megosztotta:

"Kíváncsi voltam, mi ez a felhajtás. Néhány napja hatalmas szál indult a WP fórumoldalukon, és most varázsütésre törölték. Ma kaptam az értesítést, hogy törölték, miután elszabadult a pokol a felhasználói fórumon. WTF?!"

A felhasználók eltávolodnak a matematikai rangsortól

A @SwiftyLunatic kifejezte, hogy elmozdítják webhelyeiket a Rank Math-tól:

„Ideje elmozdítani a webhelyeimet a @rankmathseo-tól

miért csinálod ezt te árnyas társaság. A legjobb SEO plugin a váltáshoz is, kérem?"

@SEOMastery2026 tweetelt:

„Kérdés nélkül várjon adminisztrátori hozzáférésre?”

A matematikai rangsor nem szerepel a SEJ jóváhagyott bővítménylistáján

A Rank Math nem került be a Search Engine Journal által ajánlott WordPress-bővítmények listájára, mert az egyik követelmény az, hogy a beépülő moduloknak megbízhatónak kell lenniük, ami magában foglalja azt is, hogy ne legyenek sebezhető helyek.

A Rank Math 2024-ben hét, 2025-ben négy sebezhetőséget tartalmazott, 2026-ban pedig eddig három sebezhetőséget fedeztek fel a Rank Math-ban, köztük egy nemrégiben megjelent, hitelesítetlen, tárolt helyeken átívelő parancsfájlkezelési sebezhetőséget. Mindig alaposan ellenőrizze a webhelyén használt összes beépülő modult, beleértve a biztonsági ellenőrzést is.