O XSS (Cross-Site Scripting)<\/strong> \u00e9 uma das vulnerabilidades mais comuns e perigosas que afetam aplica\u00e7\u00f5es web, incluindo o WordPress. Plugins mal desenvolvidos, sem prote\u00e7\u00e3o adequada, podem permitir que invasores injetem scripts maliciosos capazes de roubar sess\u00f5es, redirecionar usu\u00e1rios ou manipular o conte\u00fado do site.<\/p>\n\n\n\n Este artigo apresenta um guia completo, pr\u00e1tico e t\u00e9cnico<\/strong> sobre como proteger plugins WordPress contra ataques XSS, aplicando as melhores pr\u00e1ticas de seguran\u00e7a nativas da plataforma.<\/p>\n\n\n\n O XSS (Cross-Site Scripting) permite que atacantes injetem scripts maliciosos em p\u00e1ginas visualizadas por outros usu\u00e1rios. Ele se divide principalmente em:<\/p>\n\n\n\n Para garantir que seu plugin esteja protegido, voc\u00ea deve aplicar tr\u00eas pilares de seguran\u00e7a:<\/p>\n\n\n\n Evita que dados maliciosos sejam processados ou armazenados no banco.<\/p>\n\n\n\n Garante que o conte\u00fado seja exibido como texto, n\u00e3o executado como c\u00f3digo<\/strong>.<\/p>\n\n\n\n Sanitizar remove conte\u00fado perigoso, mas validar<\/strong> impede que dados incorretos entrem no sistema.<\/p>\n\n\n\n Se voc\u00ea quiser permitir algumas tags (como Nunca exiba diretamente valores vindos de Al\u00e9m das boas pr\u00e1ticas no PHP, voc\u00ea pode adicionar cabe\u00e7alhos HTTP de seguran\u00e7a para refor\u00e7ar a prote\u00e7\u00e3o no navegador:<\/p>\n\n\n\n Ou configure via Proteger seu plugin contra XSS n\u00e3o \u00e9 apenas uma recomenda\u00e7\u00e3o \u2014 \u00e9 uma obriga\u00e7\u00e3o \u00e9tica e profissional<\/strong>. Ao aplicar as boas pr\u00e1ticas listadas neste artigo, voc\u00ea fortalece a seguran\u00e7a do seu projeto, protege seus usu\u00e1rios e evita exposi\u00e7\u00f5es cr\u00edticas que poderiam ser exploradas por atacantes.<\/p>\n","protected":false},"excerpt":{"rendered":" Introdu\u00e7\u00e3o O XSS (Cross-Site Scripting) \u00e9 uma das […]<\/p>\n","protected":false},"author":1,"featured_media":216,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[30,8,9,1,29,13,10],"tags":[],"class_list":["post-208","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-bauru-e-regiao","category-cybersecurity","category-devsecops","category-pentesting","category-pesquisa","category-research","category-secure-coding"],"_links":{"self":[{"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/posts\/208","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/comments?post=208"}],"version-history":[{"count":2,"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/posts\/208\/revisions"}],"predecessor-version":[{"id":215,"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/posts\/208\/revisions\/215"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/media\/216"}],"wp:attachment":[{"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/media?parent=208"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/categories?post=208"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fikresekhel.com\/blog\/wp-json\/wp\/v2\/tags?post=208"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n\n\n\nO que \u00e9 XSS?<\/h2>\n\n\n\n
\n
$_GET<\/code>).<\/li>\n\n\n\n
\n\n\n\nComo Proteger um Plugin WordPress Contra XSS<\/h2>\n\n\n\n
\n\n\n\n1. Sanitiza\u00e7\u00e3o de Entrada (Input Sanitization)<\/h3>\n\n\n\n
Fun\u00e7\u00f5es recomendadas:<\/h4>\n\n\n\n
Fun\u00e7\u00e3o<\/th> Uso<\/th><\/tr><\/thead> sanitize_text_field()<\/code><\/td>Remove HTML e espa\u00e7os extras. Ideal para inputs simples.<\/td><\/tr> sanitize_email()<\/code><\/td>Verifica se o valor \u00e9 um e-mail v\u00e1lido.<\/td><\/tr> sanitize_textarea_field()<\/code><\/td>Sanitiza textos longos.<\/td><\/tr> sanitize_key()<\/code><\/td>Para slugs, chaves e identificadores.<\/td><\/tr> sanitize_file_name()<\/code><\/td>Limpa nomes de arquivos.<\/td><\/tr> sanitize_user()<\/code><\/td>Sanitiza nomes de usu\u00e1rio.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n Exemplo:<\/h4>\n\n\n\n
phpCopiarEditar
$nome = sanitize_text_field($_POST['nome']);\n<\/code><\/pre>\n\n\n\n
\n\n\n\n2. Escape de Sa\u00edda (Output Escaping)<\/h3>\n\n\n\n
Fun\u00e7\u00f5es recomendadas:<\/h4>\n\n\n\n
Fun\u00e7\u00e3o<\/th> Uso<\/th><\/tr><\/thead> esc_html()<\/code><\/td>Para conte\u00fados vis\u00edveis em HTML.<\/td><\/tr> esc_attr()<\/code><\/td>Para atributos HTML (ex: value).<\/td><\/tr> esc_url()<\/code><\/td>Para links e redirecionamentos.<\/td><\/tr> esc_js()<\/code><\/td>Para strings usadas dentro de scripts JS.<\/td><\/tr> wp_kses()<\/code><\/td>Permite apenas certas tags e atributos.<\/td><\/tr> wp_kses_post()<\/code><\/td>Vers\u00e3o mais permissiva, ideal para posts.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n Exemplo:<\/h4>\n\n\n\n
phpCopiarEditar
echo esc_html($comentario);\n<\/code><\/pre>\n\n\n\n
\n\n\n\n3. \u2714\ufe0f Valida\u00e7\u00e3o<\/h3>\n\n\n\n
Exemplo:<\/h4>\n\n\n\n
phpCopiarEditar
if (!is_email($email)) {\n wp_die(\"E-mail inv\u00e1lido.\");\n}\n<\/code><\/pre>\n\n\n\n
\n\n\n\n Filtrando HTML com Seguran\u00e7a<\/h2>\n\n\n\n
<b><\/code>, <i><\/code>, <strong><\/code>), utilize:<\/p>\n\n\n\nphpCopiarEditar
$seguro = wp_kses($comentario, [\n 'b' => [],\n 'i' => [],\n 'strong' => [],\n 'em' => []\n]);\n<\/code><\/pre>\n\n\n\n
\n\n\n\nProtegendo URLs<\/h2>\n\n\n\n
$_GET<\/code>, $_POST<\/code> ou outras entradas externas em atributos de links:<\/p>\n\n\n\nphpCopiarEditar
echo '<a href=\"' . esc_url($_GET['url']) . '\">Clique aqui<\/a>';\n<\/code><\/pre>\n\n\n\n
\n\n\n\nCabe\u00e7alhos de Seguran\u00e7a Recomendados<\/h2>\n\n\n\n
phpCopiarEditar
header(\"Content-Security-Policy: default-src 'self'\");\nheader(\"X-XSS-Protection: 1; mode=block\");\nheader(\"X-Content-Type-Options: nosniff\");\n<\/code><\/pre>\n\n\n\n.htaccess<\/code> ou nginx:<\/p>\n\n\n\napacheCopiarEditar
Header set Content-Security-Policy \"default-src 'self'\"\n<\/code><\/pre>\n\n\n\n
\n\n\n\nFerramentas de Auditoria<\/h2>\n\n\n\n
\n
\n\n\n\n\u2705 Checklist de Prote\u00e7\u00e3o Contra XSS<\/h2>\n\n\n\n
\u2705<\/th> Item<\/th><\/tr><\/thead> \u2b1c<\/td> Usar sanitize_*<\/code> em toda entrada ($_POST<\/code>, $_GET<\/code>, $_REQUEST<\/code>)<\/td><\/tr>\u2b1c<\/td> Usar esc_*<\/code> em toda sa\u00edda vis\u00edvel ou que v\u00e1 para atributos HTML<\/td><\/tr>\u2b1c<\/td> Validar dados com is_email<\/code>, is_numeric<\/code>, in_array<\/code>, etc.<\/td><\/tr>\u2b1c<\/td> Evitar ecoar diretamente $_GET<\/code>, $_POST<\/code> sem filtragem<\/td><\/tr>\u2b1c<\/td> Se HTML for necess\u00e1rio, usar wp_kses<\/code> com whitelist<\/td><\/tr>\u2b1c<\/td> Testar com payloads como <script>alert(1)<\/script><\/code> e <img src=x onerror=alert(1)><\/code><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n Exemplo Completo de C\u00f3digo Seguro<\/h2>\n\n\n\n
phpCopiarEditar
if (isset($_POST['comentario'])) {\n $comentario = sanitize_textarea_field($_POST['comentario']);\n global $wpdb;\n $wpdb->insert(\"{$wpdb->prefix}comentarios_seguro\", ['comentario' => $comentario]);\n}\n\n$comentarios = $wpdb->get_results(\"SELECT * FROM {$wpdb->prefix}comentarios_seguro\");\n\nforeach ($comentarios as $c) {\n echo '<p>' . esc_html($c->comentario) . '<\/p>';\n}\n<\/code><\/pre>\n\n\n\n
\n\n\n\nConclus\u00e3o<\/h2>\n\n\n\n