XSS уязвимости в WordPress

Чем меньше таких "заботливых" хостеров - тем лучше клиентам.

Ида, проблема не хостеров совершенно.

После принудительно обновления движка хостером?!! Ну-ну. Желаю удачи :)

А в хостиг - когда требуется его сменить. Что чаще? 🍿

Если вас ломанут и ваш сайт начнет спамить форумы и почту тоже не хостера проблема? А если начнет вирусы раздавать, в ддосах участвовать?

То, что криворукие админы кривые костыли приделывают, которые вам не нравятся, не делает саму идею WAFов плохой. Идея необходима для стабильной работы шаредов. И при нормальной реализации, вы и знать не будете, что там от чего спасает, оно будет просто работать, беззаботно работать.

А кто говорил о принудительном обновлении? Это ваши недобросовестные домыслы. Недобросовестные, потому что прилепить свой домысел к высказыванию оппонента и потом аргументировать почему этот домысел плох - как раз образцовый пример недобросовестной дискуссии.

Ваше личное мнение - это ваше личное мнение, а я, например, уверен, что любой адекватный клиент поймет то, что чем "чище" ресурсы у хостера, тем ему же клиенту - лучше: меньше риска блокировки всякими роскомнадзорами, спамхаузами, гугл и яндекс сейфробузинг блокерами и т.п. и т.д., больше стабильность работы и айптайм его сайта. А это как раз то, что клиент ищет в сети при размещении своего сайта.

Ну а если клиент из "не понимающих", то ему лучше искать другого хостера.

На самом деле не обязательно лезть обновлять wordpress`ы, можно закрыть такие дырки на уровне серверного софта, того же modsecurity.

Но с обязательным информированием клиентов и возможность отключить по запросу (а еще лучше чтобы клиент сам мог отключить).

Ломанут - не хостера. Клиентские скрипты - не хостера.

Хостер должен заниматься своим делом и локнуть мейлер/акк, если начнётся спам или др действия нарушающие условия договора.

Ключевое слово - "при нормальной". Как показывает практика - этого у большинства хостеров нет. Хотя все считают себя умными. И даже могут не получать от клиентов жалоб, ибо клиент может даже не подозревать что у него на сайте есть проблема.

Пример с тем же ВП и ограничением к wp-admin. Кто из хостеров знает, что этот путь нужен не только админу ВП, а и простым гостям? Но нет же - наставят ограничений. Юзеру (админу ВП) конечно не проблема тыкнуть кнопку, пройти авторизацию, ввести капчу и тд при авторизации в админку. Но вот ему даже невдомёк что яакс для незалогиненых работает криво.

Серьёзно? Тогда в чём посыл сего топика?

Что, XSS какая-то новая технология взлома?

Или какие предложения - защита от кросскриптинга на уровне хостера? А где гарантии, что это не похерит нужный клиенту запрос?

это проблема клиента т.к сайт клиента а не хостера, хостер может посодействовать в помощи предоставив информацию и рекомендации.

---------- Добавлено 30.04.2015 в 20:50 ----------

это костыли только лишние проблемы и вопросы будут

Троллинг портит карму. Странно, что вы этого еще не знаете.

Серьёзно? Тогда в чём посыл сего топика?

Топик был создан ошибочно и вы это можете прочитать на первой странице.

Что, XSS какая-то новая технология взлома?

Ничто не ново под луною. В вашей фразе, увы не вижу никакого смысла.

Или какие предложения - защита от кросскриптинга на уровне хостера? А где гарантии, что это не похерит нужный клиенту запрос?

Законный вопрос. Гарантий, конечно, нет. Поэтому,во-первых, такую защиту включают сначала на журналирование и только потом в режим блокирования. Во-вторых, эту защиту можно отключить как для всего аккаунта пользователя, так и для конкретного сайта или папки когда сисадмин заметит, что срабатывание ложное или когда клиент обратиться.

Да, я знаю, что есть любители raw internet, вот только ни один из этих любителей не готов нести материальную ответственность за риски.

При этом, пожалуйста, любой клиент, которого не устраивают общепринятые ограничения, может перейти на ВПС или на дедик и совершенно спокойно делать там все что его душе угодно. Конечно до тех пор пока его не заблокируют за какой-нибудь спам, ддос и прочие гадости.