Új állítások jelentek meg, miszerint a Rank Math bevezetett egy olyan funkciót, amely csendben rendszergazdai szintű engedélyeket ad a vállalatnak a WordPress webhelyeken. A hozzáférés akkor aktiválódik, amikor a felhasználó telepíti a Rank Math-ot, és megnyitja a beépülő modul Súgó és támogatás területét.
Állítólag nulla hozzájárulás vagy értesítés
A The SEO Framework SEO bővítmény fejlesztője a közelmúltban azt írta a Twitteren, hogy amikor a felhasználó megnyitja a Rank Math Súgó és támogatás szakaszát, a beépülő modul létrehoz egy WordPress-alkalmazásjelszót, amely ahhoz a felhasználóhoz van kötve, aki megnyitja a Súgó és támogatás részt. Tehát ha a beépülő modul adminisztrációs területén kattintgató felhasználó rendelkezik adminisztrátori jogosultságokkal, akkor a Rank Math által generált WordPress-alkalmazásjelszó örökli a rendszergazdai szintű jogosultságokat.
Sybere Waaijer elmagyarázta:
„Két nappal ezelőtt a Rank Math körülbelül egy tucat biztonsági problémát zárt le az 1.0.277-ben. Ez a bővítmény több mint 4 millió webhelyen fut.
Ugyanabban a frissítésben, csoport[.]az egyik (aki a WP Rocket tulajdonosa is) mostantól rendszergazdai jogosultságokat kap az Ön webhelyéhez.
Múltkor az ilyesmit a hátsó ajtók közé soroltam. Ezúttal Ön dönthet.
A fájl: vendor/groupone/wap-client/includes/class-app-password-manager.php.
Mit csinál:
Amikor egy webhely adminisztrátora, akinek a webhelye egy (ingyenes) rangmathhoz kapcsolódik[.]com-fiókjában megnyílik a „Súgó és támogatás”, a beépülő modul azonnal létrehoz egy WordPress-alkalmazásjelszót az adott felhasználó számára. Ezt a jelszót elküldi a csoportnak[.]a szerverei. Az AI-ügynökük ezután eljárhat az Ön nevében az Ön webhelyén.”
WordPress alkalmazás jelszava
A WordPress-alkalmazásjelszavak a WordPress legális elemei, a WordPress magjának részét képezik, és olyasvalami, amit a bővítmények képesek tenni. Vannak még olyan irányelvek is, amelyek megmondják a beépülő modulok fejlesztőinek, hogyan hozhatnak létre WordPress-alkalmazásjelszavakat. Valószínűleg ezért óvta Sybre Waaijer attól, hogy a Rank Math tevékenységét a hátsó ajtónak minősítse.
A Rank Math nem kér engedélyt
A számos ok egyike, amiért Waaijer kifogásolja a Rank Math tevékenységét, és összefügg azzal, hogy a Rank Math hogyan állítja elő magának ezeket az engedélyszinteket.
Elmagyarázta:
„A beépülő modul soha nem kérdez először. Van egy „Feltételek” mező, de ez nem akadályozza meg a jelszó létrehozását vagy elküldését. Az átvitel megkezdődik, mielőtt a doboz megjelenne.”
A felhasználói jogosultság be van építve a WordPress alkalmazásjelszófolyamába
A hivatalos WordPress dokumentáció meghatároz egy engedélyezési képernyőt, ahol a bővítmény azonosítja magát, a felhasználónak megjelenik a kapcsolat, és lehetőséget kap annak jóváhagyására vagy elutasítására. A specifikáció szerint az alkalmazásjelszó csak akkor kerül át a beépülő modulnak, ha azt a felhasználó jóváhagyta.
Képernyőkép az engedélyezési példáról
WordPress.org kifejezett hozzájárulási szabály
A WordPress beépülő modul irányelvei kifejezett beleegyezési szabályt írnak elő a külső szerverekre vonatkozóan. A hivatalos iránymutatások szerint a beépülő modulok nem léphetnek kapcsolatba külső szerverekkel „kifejezett és felhatalmazott beleegyezés” nélkül, amiben meg kell adni egy feliratkozási jelölőnégyzetet. Ezenkívül tiltják a felhasználói adatok automatikus gyűjtését kifejezett megerősítés nélkül.
Az irányelvek előírják:
„7. A beépülő modulok nem követhetik nyomon a felhasználókat a beleegyezésük nélkül.
A felhasználók adatainak védelme érdekében a beépülő modulok nem léphetnek kapcsolatba külső szerverekkel kifejezett és engedélyezett hozzájárulás nélkül. Ez általában „feliratkozási” módszerrel történik, amely regisztrációt igényel egy szolgáltatásnál, vagy egy jelölőnégyzetet a bővítmény beállításaiban. A felhasználói adatok gyűjtésére és felhasználására vonatkozó dokumentációt bele kell foglalni a bővítmény readme-jába, lehetőleg egyértelműen meghatározott adatvédelmi szabályzattal együtt.”
Az alkalmazásjelszavak visszavonható hitelesítő adatok
A WordPress úgy írja le az alkalmazásjelszavakat, mint amiket a felhasználó áttekinthet és visszavonhat.
„Az alkalmazásjelszavak a WordPress olyan funkciói, amelyek segítségével visszavonható, alkalmazásonkénti hitelesítő adatokat hozhat létre…
És is:
„Az alkalmazás jelszava:
Egyénileg visszavonható, így egyetlen integrációt is letilthat anélkül, hogy megváltoztatná a felhasználó elsődleges jelszavát.”
Waaijer azt tanácsolta, hogyan kell visszavonni a Rank Math támogatási ügynök által kiváltott alkalmazásjelszót:
„A jelszó a profilodon „WAP – Rank Math Support Agent” néven jelenik meg. A „Súgó és támogatás” lap bezárása nem vonja vissza. Ez az alkalmazásjelszó nem jár le. A „Support Agent” nem kapcsolható ki.
Mit kell tenned:
Ha csatlakozás közben megnyitotta a „Súgó és támogatás” elemet, azonnal vonja vissza az alkalmazásjelszavakat.Lépjen a „WP Admin -> Users -> Profile -> Application Passwords” menüpontra, és vonjon vissza mindent, ami a „WAP -” karakterrel kezdődik.
Felhasználói válaszok
A felhasználói reakciók végig negatívak voltak.
@tprinty tweetje jól példázza a felhasználók által a Rank Math iránt érzett haragot:
„Ez borzalmas. A WP-nek szüksége van a SEO-ra a mag részeként.”
A panaszok törlésével vádolt rangsor Math
@CAwavehello elmondta, hogy a Rank Math vitafórumon nagy téma volt erről a témáról, és a vitát később törölték, feltehetően a Rank Math.
@CAwavehello megosztotta:
„Kíváncsi voltam, mi ez a felhajtás. Néhány napja hatalmas szál indult a WP fórumoldalukon, és most varázsütésre törölték. Ma kaptam az értesítést, hogy törölték, miután elszabadult a pokol a felhasználói fórumon. WTF?!”
A felhasználók eltávolodnak a matematikai rangsortól
A @SwiftyLunatic kifejezte, hogy elmozdítják webhelyeiket a Rank Math-tól:
„Ideje elmozdítani a webhelyeimet a @rankmathseo-tól
miért csinálod ezt te árnyas társaság. A legjobb SEO plugin a váltáshoz is, kérem?”
@SEOMastery2026 tweetelt:
„Kérdés nélkül várjon adminisztrátori hozzáférésre?”
A matematikai rangsor nem szerepel a SEJ jóváhagyott bővítménylistáján
A Rank Math nem került be a Search Engine Journal által ajánlott WordPress-bővítmények listájára, mert az egyik követelmény az, hogy a beépülő moduloknak megbízhatónak kell lenniük, ami magában foglalja azt is, hogy ne legyenek sebezhető helyek.
A Rank Math 2024-ben hét, 2025-ben négy sebezhetőséget tartalmazott, 2026-ban pedig eddig három sebezhetőséget fedeztek fel a Rank Math-ban, köztük egy nemrégiben megjelent, hitelesítetlen, tárolt helyeken átívelő parancsfájlkezelési sebezhetőséget. Mindig alaposan ellenőrizze a webhelyén használt összes beépülő modult, beleértve a biztonsági ellenőrzést is.
