فرمت غیرمجاز در وردپرس معمولاً با پیام «این نوع پرونده به دلایل امنیتی مجاز نیست» دیده می‌شود. پیش از مجازکردن پسوند، مشخص کنید چه فایلی، از کجا و برای چه کاربردی نیاز دارید. این پیام می‌تواند حفاظتی واقعی باشد؛ هدف نباید صرفاً حذف هشدار باشد.
پسوند فایل کافی نیست
نام فایل، نوع واقعی محتوا و فهرست مجاز می‌توانند ناسازگار باشند. در مرجع بررسی نوع پروندهٔ وردپرس، کنترل پسوند و نوع فایل توضیح داده شده است. تغییر نام یک فایل ناشناخته به jpg یا zip، آن را امن یا معتبر نمی‌کند. فایل سالم را از منبع اصلی و در قالب مناسب دوباره خروجی بگیرید.
خطای حجم و خطای نوع را جدا کنید
اگر پیام از سقف حجم یا نبودن پوشهٔ موقت می‌گوید، افزودن MIME type مسئله را حل نمی‌کند. نام فایل، اندازه، ابزار آپلود و متن دقیق خطا را ثبت کنید. همچنین مسیر کتابخانهٔ رسانه، ابزار فونت یا آپلود افزونه لزوماً سیاست یکسانی ندارند؛ آموزش نسخهٔ قدیمی را برای هر مسیر تعمیم ندهید.
برای SVG و فونت چه احتیاطی لازم است؟
SVG فقط یک تصویر سادهٔ پیکسلی نیست و می‌تواند محتوای فعال داشته باشد. برای نیاز واقعی به آن، روش معتبرِ پاک‌سازی و کنترل دسترسی را بررسی کنید؛ صرف افزودن پسوند کافی نیست. برای فونت نیز از ابزار و قالب پشتیبانی‌شدهٔ همان نسخه استفاده کنید و مجوز استفاده از فایل را بشناسید.
اگر نوع تازه واقعاً ضروری است
- نوع موردنیاز و کاربران مجاز را محدود و مستند کنید.
- قابلیت رسمی موجود را پیش از نصب افزونهٔ اضافی بررسی کنید.
- در صورت نیاز به افزونه، منبع، نگهداری، سازگاری و شیوهٔ اعتبارسنجی آن را بررسی کنید.
- تغییر را روی نسخهٔ آزمایشی با فایل سالم و نمونهٔ نامعتبر بیازمایید.
- مطمئن شوید فایل بارگذاری‌شده به‌عنوان برنامه روی سرور اجرا نمی‌شود و دسترسی آن متناسب با کاربرد است.
همهٔ فرمت‌ها را باز نکنید
قرار دادن ALLOW_UNFILTERED_UPLOADS به‌عنوان راه‌حل عمومی، کنترل را بیش از نیاز گسترده می‌کند. انتخاب همهٔ پسوندهای یک افزونه یا تغییر گستردهٔ نقش کاربران نیز پاسخ مناسبی نیست. راهنمای امن آپلود OWASP بر فهرست محدودِ لازم، اعتبارسنجی و کنترل دسترسی تأکید دارد.
کنترل پس از اصلاح
یک فایل معتبر باید در مسیر موردنظر بارگذاری و درست نمایش داده شود؛ یک فایل نامعتبر نباید فقط با پسوند تازه پذیرفته شود. استثنای موقت را پس از پایان کار بازبینی کنید. برای فرمت غیرمجاز، امنیت و کاربرد واقعی را با هم بسنجید؛ نه اینکه تنها موفقیت یک آپلود را سلامت کل سامانه بدانید.
راهنمای مرتبط
بازبینی فنی و منابع: ۲۷ مهر ۱۴۰۵. تاریخ انتشار اولیه و مسیر قبلی حفظ شده‌اند.
