Everest Backup रिपोर्ट: nonce से प्राधिकरण सिद्ध क्यों नहीं होता
सुधार: पुराने लेख ने बैकअप निर्यात से जुड़ी रिपोर्ट को केवल nonce मौजूद होने के आधार पर खारिज कर दिया था। यह तर्क गलत था। लेख ने बिना प्रमाण यह भी कहा था कि हमारी टीम ने जाँच की थी; वह दावा हटा दिया गया है।
Nonce की भूमिका
WordPress nonce क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी से बचाव में मदद करता है। इससे यह सिद्ध नहीं होता कि उपयोगकर्ता को बैकअप निर्यात करने का अधिकार है। WordPress स्पष्ट करता है कि nonce का उपयोग प्रमाणीकरण या प्राधिकरण के लिए नहीं होना चाहिए। संवेदनशील कार्रवाई के लिए current_user_can() जैसी उचित क्षमता जाँच और माँगे गए संसाधन के पहुँच अधिकारों की जाँच भी चाहिए।
रिपोर्ट का आकलन कैसे करें
सटीक प्लगइन, प्रभावित संस्करण, एंडपॉइंट, आवश्यक उपयोगकर्ता भूमिका और विक्रेता की सूचना पहचानें। जाँचें कि क्या कम अधिकार वाला खाता nonce प्राप्त करके दूसरे उपयोगकर्ता का बैकअप माँग सकता है। परीक्षण केवल अधिकृत, अलग-थलग प्रतिलिपि पर गैर-संवेदनशील डेटा से करें। यह लेख किसी विशेष प्रभावित संस्करण की पुष्टि नहीं करता और न ही Everest Backup रिपोर्ट को गलत चेतावनी घोषित करता है।
व्यावहारिक कदम
बैकअप फ़ाइलों तक अनधिकृत पहुँच रोकें, निर्यात के अधिकार सीमित रखें और अप्रत्याशित डाउनलोड की समीक्षा करें। विक्रेता द्वारा समर्थित अपडेट लगाएँ। डेटा खुलने का संदेह हो तो अपनी घटना-प्रतिक्रिया प्रक्रिया अपनाएँ; केवल अपडेट करने से पहले हुआ खुलासा वापस नहीं लिया जा सकता।