CoreScanWP lee las referencias a los recursos de plugins en el HTML, rastrea un puñado de páginas internas para capturar plugins que solo se renderizan en rutas específicas y sondea activamente 230 slugs de plugins conocidos para los que no dejan huella alguna en el frontend.
Tres capas, cada una detecta plugins que las otras pasan por alto. El análisis es totalmente pasivo: solo se leen recursos públicos.
La página principal normalmente carga hojas de estilo,
scripts e imágenes desde
/wp-content/plugins/<slug>/. CoreScanWP
extrae cada slug que ve y obtiene las cadenas de consulta
?ver= para obtener la versión directamente
desde la URL del recurso.
Muchos plugins solo cargan recursos en rutas específicas:
un plugin de formulario en /contact, un plugin
de checkout en una página de producto, un plugin de
incrustación en una entrada concreta. CoreScanWP extrae los
enlaces internos y rastrea hasta cinco páginas internas
para que esos plugins también salgan a la luz.
Muchos plugins no tienen huella alguna en el frontend:
funcionan en wp-admin o como flujos de trabajo
en segundo plano. CoreScanWP sondea una lista curada de
230 slugs de plugins populares solicitando el
readme.txt de cada uno y confirma su presencia
a partir de esa respuesta.
Plugins populares sondeados cuando el análisis profundo está activado
Páginas internas rastreadas para detectar plugins específicos de ruta
CVE contra los que se contrasta cada plugin detectado
Intentos de inicio de sesión, exploits o sondeos de vulnerabilidades
Pegue cualquier URL y pulse Encontrar los plugins.
CoreScanWP lee cada referencia
/wp-content/plugins/<slug>/ del HTML,
rastrea páginas internas y sondea 230 plugins populares para
descubrir los que no incluyen recursos de frontend.
Ningún escáner externo puede. Los plugins que no incluyen recursos de frontend Y no están en la lista curada (plugins personalizados o premium) permanecen ocultos. CoreScanWP es honesto al respecto: una lista vacía de plugins significa que ninguno era detectable, no que no exista ninguno.
Sí. Las referencias a los recursos de plugins viven en el HTML y pasan a través de los CDN sin cambios. CoreScanWP también identifica el CDN en sí (Cloudflare, Fastly, Akamai) para que sepa qué hay entre usted y el origen.
Muy precisas. La cadena de consulta ?ver= en
las URL de los recursos es la versión canónica que emite
WordPress, y el propio readme.txt del plugin lo
confirma nuevamente cuando se sondea.
Sí. Cada plugin detectado se contrasta con 6853 CVE de la NIST National Vulnerability Database. Las versiones vulnerables se marcan con la gravedad, la versión de corrección y un enlace directo al aviso.
Solo como visitas normales a páginas en sus registros del servidor. CoreScanWP no inicia sesión, no explota nada ni activa alertas de seguridad. Solo lee recursos públicos.