CMS ADMINS Security Check Report

Changelog

Releases vóór 2.2.0 staan in changelog.txt.

2.5.0

Added
* The grade appears in Tools, Site Health: good for A and B, recommended for C or a run older than a month, critical for D and F. It reads the stored run and never starts a scan.
* A line under the grade says what changed since the run before: how many findings are new and how many were resolved.
* wp security-check run --fail-below=<grade> exits with status 1 when the grade is worse, for pipelines and monitoring.

Gewijzigd
* De vijf taken worden eerst op ernst gesorteerd. Een kritieke waarschuwing zoals PHP2Shell staat niet meer achter een middelzware fout.
* Elke taak toont haar status naast de ernst, zodat een kritieke controle die alleen een waarschuwing is ook zo leest.
* Gedempte bevindingen zeggen dat in hun label (“Gedempt (Mislukt)”) in plaats van de oude status in grijs te tonen.
* De voortgang per categorie telt gedempte controles mee, dus elke categorie toont haar volledige aantal controles.
* De voortgangsgrafiek toont het cijfer boven en de datum onder elke balk, de nieuwste controle eerst.
* Sectiekoppen vallen meer op, en de lijst met alle controles houdt status, naam en samenvatting in uitgelijnde kolommen.
* Schermlezers: de voortgangsbalk wordt als zodanig aangekondigd, na een controle gaat de focus naar het cijfer en elke knop bij taken en resultaten noemt de controle waar hij bij hoort. Lichte tekst voldoet nu aan het WCAG AA-contrast.

Fixed
* “WordPress 7.1.3 is outdated, 7.1.3 is available”: an update offer for the installed version no longer counts as an update.
* The readme said a command line run stores nothing. It does, and now the readme says so.

2.4.1

Added
* PHP2Shell check for CVE-2026-109618 and CVE-2026-109619: green when the running PHP is 8.5.12, 8.4.27, 8.3.36, 8.2.35 or newer, or an Ubuntu package with the backport, orange when the fix cannot be read from the version number

2.4.0

Toegevoegd

• A checklist instead of a one-off verdict. From the second run onwards the page opens on an overview: the grade, where the site started and where it stands today, a bar for every run, the five things to work through, what is still open, and what has been resolved and when. The guided three-step walkthrough stays for the first run.
• Elke taak heeft een knop die die ene controle opnieuw uitvoert en binnen enkele seconden antwoord geeft. Een oplossing is bevestigd terwijl je nog op het scherm bent, en de volgende taak schuift op, zonder te wachten op de volgende volledige ronde.
• A history of the last 24 runs. The very first one is kept for good, so the opening line can always name where the site started. An installation upgrading from an earlier version finds its two stored runs as the first two points.
• Progress per category, so it is visible which part of the site has been dealt with and which has not.
• A sixth area, transparency and disclosure, with one check in it: whether AI-generated content on the site is labelled. Article 50 of the EU AI Act has asked for a machine-readable label and a notice for AI chatbots since 2 August 2026. The disclosure plugins from the directory are recognised by their folder and by the settings they write, and the check only ever warns, because a site with no AI content has nothing to label.
• Een getal bij het menu-item, een widget op het dashboard en een herinnering zodra de laatste volledige scan ouder is dan dertig dagen. De herinnering kan per gebruiker voorgoed worden uitgeschakeld.

Gewijzigd

• Het rapport wordt nu op de server opgebouwd. Vroeger werd het in de browser samengesteld, waardoor het overzicht niet kon bestaan voordat een scan klaar was en dezelfde opmaak twee keer geschreven had moeten worden.
• Een losse hercontrole schrijft nooit een punt in de geschiedenis, en de pagina zegt duidelijk dat het cijfer dan deels op oudere metingen rust. Een gedeeltelijke ronde is geen scan.
• Een scan bewaart wat elke controle meldde, zodat het rapport opnieuw kan worden opgebouwd zonder alles opnieuw uit te voeren.

Opgelost

Every check was read against the sources it cites: php.net, the WordPress handbook, core source, MDN, and the packages of the plugins it recognises. That turned up findings that fire on correct configurations, one that could not fire at all, and claims that stopped being true years ago.

• Sites with two-factor protection were reported as having none. The user meta key stored for iThemes, Solid and Kadence Security is not the one those plugins write, and the one for Defender does not exist in it at all. Google Authenticator stores the string “disabled”, which counted as a second factor because it is not empty, so the one case the check exists for went unnoticed.
• The check for plugins removed from the directory could not fire. The API answers 404 for a closed listing, and the WordPress function turns that into an error before the “closed” flag is ever read, so the check reported all clear in exactly the case it was written for. It now asks the endpoint itself and tells a closed listing, a plugin that was never listed and an unreachable one apart.
• WordPress installed in its own directory was reported as an injected option value, at critical severity. Comparing the site and home addresses cannot tell that apart from a takeover, and in a real takeover both are changed together, so the comparison is gone.
• A site behind Cloudflare was reported as having a spoofable client address. The check now looks for a proxy that identifies itself and says the result is undetermined when it cannot tell, rather than warning.
• De WooCommerce Store API werd gemeld als onbeveiligde schrijfroute. Een route als openbaar registreren is precies de schrijfwijze die het handboek voorschrijft, dus een route zonder enige permission callback en een route die bewust openbaar is, worden nu van elkaar onderscheiden.
• The strict Content Security Policy from the published guidance was reported as leaving the hole it closes. Browsers that understand ‘strict-dynamic’ ignore the ‘unsafe-inline’ fallback beside it, and the check now does the same. A host wildcard is no longer mistaken for allowing scripts from anywhere.
• DISALLOW_FILE_MODS sluit de bestandseditor af en stopt achtergrondupdates. Geen van beide controles wist dat, dus wie het advies van deze plugin opvolgde, hield één bevinding over en kreeg bij een andere ten onrechte de melding dat alles in orde was.
• system.multicall has not amplified password guessing since WordPress 4.4, and the XML-RPC check now recognises the filter most security plugins use to switch the interface off.
• The advice to pick a display name different from the login name does nothing, because the author slug keeps the login name it was generated from.
• Application passwords were reported as switched off on every site without HTTPS, which is where WordPress refuses them in the first place.
• A server that hands out the source of a PHP file was reported as running it. Those are different problems with different fixes.
• .user.ini en .htpasswd stonden tussen de bestanden die verwijderd moesten worden. Het zijn actieve configuratiebestanden, en het verwijderen van de tweede sluit mensen buiten.
• Op IIS adviseerde de controle voor .htaccess om de permalinkinstellingen op te slaan, wat daar web.config schrijft en nooit een .htaccess.
• A role that merely appeared since the first run, as a shop or membership plugin does, was reported as a role holding administrator-level power.
• Installatieprogramma’s en shellscripts tussen de uploads worden niet langer behandeld als code die de server uitvoert.
• A run stored by 2.3.2 could raise a PHP warning on the first page view after the update, and the mute state it was saved with is now kept until a run of this version replaces it.
• Scans and lookups that cannot complete now say so instead of reporting all clear: a core file scan that hit its limit, a plugin listing that could not be retrieved, a database dump whose URL did not answer.

Uitleg

• Elk van de eenenzestig items is getoetst aan de methode die het documenteert. Veertien beschreven uitkomsten die de controle niet heeft, of zwegen over de uitkomsten die hij wel heeft.
• The entry on security headers now names the values to enter, which is the one thing it was missing. The permission entries say where to change file permissions without shell access. Roughly a dozen terms are resolved where they first appear rather than assumed.
• The warning about the table prefix named the wrong mechanism, and the reasoning for 640 against 440 on wp-config.php was inverted. Files in the web root were called harmless as a group, although phpinfo.php prints the whole PHP environment.

2.3.2

Opgelost

• The check for executable files in the uploads directory reported the empty index.php that WordPress and most plugins drop into every upload folder to stop directory listing. Those files are the opposite of a finding, and because the check counts as critical, a single one of them pulled an otherwise healthy site down to grade D. Across twenty sites the grade was identical for that reason alone. The check now reads such a file instead of judging it by name: an index.php passes only when it stays small and reads no request data, includes no other file, calls none of the functions a dropped shell needs and prints nothing of its own. Everything else is still reported, index.php included.
• Elk gemeld bestand toont nu zijn grootte en, als een index.php niet slaagde, de reden waarom het werd gemeld. Een beveiligingsbestand is een paar honderd bytes groot, dus het getal alleen maakt meestal al duidelijk wat een bestand is.
• De controle van tweestapsverificatie kon een account dat de instelling nooit had afgerond niet onderscheiden van een account dat ze gewoon niet kon lezen, en noemde beide onbeslist. Elke ondersteunde plugin staat nu vermeld samen met de gebruikersmeta die hij schrijft, zodat een geïnstalleerde plugin die niemand gebruikt wordt gemeld als het risico dat het is, met de accounts zonder tweede factor erbij.
• De herkenning van tweestapsverificatie dekt nu ReportedIP Hive, Solid Security, Kadence Security, WP Defender en Google Authenticator. iThemes Security is twee keer van naam veranderd en wordt onder drie mapnamen geleverd, die allemaal worden herkend.

2.3.1

• Het scherm is nu opgebouwd in drie stappen: de controle starten, het resultaat lezen, de rest doorlopen. Stap twee en drie zeggen al vóór de eerste scan wat ze zullen bevatten, zodat de pagina zichzelf uitlegt.
• De startknop zegt wat hij doet en hoe lang het duurt, en de opmerking over het tijdelijke bestand staat er direct boven.
• Het resultaat begint met een gewone zin, niet alleen met een letter: hoeveel bevindingen nu aandacht nodig hebben, hoeveel het verbeteren waard zijn en hoeveel controles niet konden worden afgerond.
• De pagina scrolt naar het resultaat wanneer een scan klaar is, in plaats van het onder de vouw te laten staan.
• De prioriteitenlijst heet nu wat ze is, een takenlijst, en zegt dat je haar op volgorde moet afwerken.
• A finding can carry a link to further help. The two-factor finding uses it to point at the Two Factor plugin from the WordPress core team and at ReportedIP Hive, which we build ourselves and name as ours.
• Drie interfaceteksten en twee stylesheetregels verwijderd die na de herbouw waren achtergebleven.

2.3.0

Herbouwd

• Eén register is nu de enige bron voor een controle: identificatie, label, groepering, urgentie, gewicht, callback en documentatie stonden vroeger op vier verschillende plekken die niets synchroon hield. Een test dwingt nu af dat ze overeenkomen.
• De beoordeling is uit de browser naar PHP verhuisd, waardoor het resultaat reproduceerbaar, testbaar en ook buiten het dashboard beschikbaar is.
• The admin-ajax endpoint was replaced by REST routes under cascr/v1, running three checks at a time instead of strictly one after another.
• Resultaten worden opgeslagen, zodat het rapport een scan kan vergelijken met de vorige.

Toegevoegd

• Twenty-five checks, among them publicly readable configuration files and repository folders, database dumps in the web root, must-use plugins and drop-ins, role and capability changes, the application password inventory with last use, two-factor coverage per administrator, unauthenticated REST write routes, TLS certificate expiry, HSTS and CSP quality, cookie attributes, client address spoofing and plugin ownership changes.
• wp security-check run as a WP-CLI command.
• Een prioriteitenlijst met de vijf dingen die je het eerst moet aanpakken, bovenaan het rapport.
• Een vergelijking met de vorige scan: nieuw mislukt, opgelost, gewijzigd.
• Dempen met een vingerafdruk van de inhoud, zodat een geaccepteerde bevinding terugkomt zodra die echt verandert.
• “Niet bepaald” als eigen uitkomst, zodat een geblokkeerd verzoek geen bevinding meer is en het cijfer niet meer beïnvloedt.
• Export als platte tekst, JSON en CSV.
• De filters cascr_registry en cascr_test_result.

Opgelost

• Multisite reported “registration is closed” on a network that let anyone sign up, because the check read the per-site option that multisite ignores. It now reads the network setting.
• Network administrators were missing from the password, administrator, two-factor and application password checks. They hold every capability regardless of their role on a site, so a role query alone did not find them.
• The table prefix check compared the per-site prefix on multisite, so every subsite looked like it had a custom one.
• A stored cross-site scripting path: findings carrying site data such as plugin names or user names were written into the summary with innerHTML.
• Rechtencontroles vergeleken met precies 0755 en meldden daardoor 0750 en de veelgebruikte setgid 2755 als onveilig.
• WP_AUTO_UPDATE_CORE op true werd als risico gemeld, hoewel het meer updates inschakelt dan de aanbevolen instelling.
• “Not modified in six months” was treated as “outdated”, which flagged well maintained plugins. Replaced by release date, tested-up-to version and directory status.
• The malware signature scan searched wp-admin and wp-includes for strings such as eval( and $_GET[, and needed a hand-maintained list of 180 core files to stay quiet. Replaced by a comparison against the official WordPress file list.
• Security headers were all or nothing. They are now scored per header, with the cross-origin isolation headers treated as optional.
• The interface followed the operating system colour scheme and painted dark cards onto the light dashboard. It now follows the WordPress admin.

Gewijzigd

• One request to the homepage per run instead of four, and one update lookup instead of one request per installed plugin.
• Duplicate checks merged (PHP version support, XML-RPC methods, login attempt limiting) and two dropped that could never fail (jQuery version, table storage engine).
• Elke tekst in de interface is vertaalbaar. Het rapport was voorheen hardgecodeerd Engels met een Duitse datumnotatie.
• Aantallen in het rapport gebruiken correcte meervoudsvormen in plaats van altijd uit te gaan van meervoud.
• The JavaScript alert was replaced by an admin notice and a screen reader announcement.
• De testsuite draait nu ook tegen multisite, als blokkerende stap vóór elke release.

2.2.2

• Broadened PHP compatibility: the plugin runs on PHP 7.4 through 8.5
• Vereist WordPress 7.0 of nieuwer
• Added an automated test suite covering every check and the permission and nonce gates
• Continuous integration lints on seven PHP versions and runs the tests against WordPress 7.0 and the current release
• Fixed a PHP warning in the theme and plugin update checks when a path no longer exists
• Ongebruikte verouderde codepaden verwijderd en volledige naleving van de WordPress Coding Standards bereikt

2.2.1

• First release on the WordPress.org plugin directory
• Renamed plugin folder, main file and text domain to security-check-report
• Removed the Spamhaus IP blacklist test, which sent the server address to a third party without asking
• Ongebruikte verouderde code en bestanden verwijderd
• Laden van vertalingen op WordPress 6.7 en nieuwer opgelost
• Enabled certificate verification for the PHP execution test request

2.2.0

• Interface opnieuw ontworpen met een native accordeon op basis van details en summary
• Live zoekfunctie in de documentatie van de controles toegevoegd
• Elke beschrijving van een controle herschreven in een vast formaat: wat het controleert, waarom het ertoe doet, wat je moet doen
• Kleurenschema geharmoniseerd en verschillende opmaakproblemen opgelost