{"id":6098,"date":"2026-10-20T13:02:06","date_gmt":"2026-10-20T11:02:06","guid":{"rendered":"https:\/\/darioiannascoli.it\/blog\/cve-2026-96951-windows-shell-motw-bypass-wdac-hardening\/"},"modified":"2026-10-20T13:02:06","modified_gmt":"2026-10-20T11:02:06","slug":"cve-2026-96951-windows-shell-motw-bypass-wdac-hardening","status":"publish","type":"post","link":"https:\/\/darioiannascoli.it\/blog\/cve-2026-96951-windows-shell-motw-bypass-wdac-hardening\/","title":{"rendered":"Come Mitigare CVE-2026-96951 Windows Shell Mark of the Web Bypass: La Mia Procedura Exploit Scenario, Hardening WDAC e Incident Response"},"content":{"rendered":"

Nel mio lavoro di System Administrator, ho visto crescere negli ultimi mesi una tendenza preoccupante: gli attacchi tramite Mark of the Web bypass<\/em> sono diventati sempre pi\u00f9 sofisticati e mirati. CVE-2026-96951<\/strong>, il zero-day che Microsoft ha risolto a ottobre 2026, rappresenta esattamente questo problema. \u00c8 la terza vulnerabilit\u00e0 di questo tipo nel 2026 (dopo CVE-2026-21510 a febbraio e CVE-2026-32202 in aprile), il che mi dice che gli attaccanti hanno trovato il bersaglio perfetto: lo Shell di Windows.<\/p>\n

In questo articolo condivido la mia esperienza pratica nel gestire questa minaccia: come riconoscere lo scenario d’attacco, le mitigazioni immediate che ho implementato in produzione, e soprattutto come costruire una strategia di hardening con WDAC (Windows Defender Application Control)<\/strong> per proteggere i moduli dinamici da esecuzioni non autorizzate.<\/p>\n

Che cosa \u00e8 CVE-2026-96951: La Vulnerabilit\u00e0<\/h2>\n

CVE-2026-96951 ha un CVSS score di 8.8 e consente a un attaccante non autenticato di aggirare le protezioni Mark of the Web convincendo una vittima a interagire con un file appositamente creato<\/cite>. \u00c8 una vulnerabilit\u00e0 di command injection nel Windows Shell causata dall’inadeguata neutralizzazione di elementi speciali utilizzati in un comando<\/cite>.<\/p>\n

Quello che rende questo exploit cos\u00ec pericoloso, nella mia esperienza, \u00e8 il silenzio. Quando il MotW viene rimosso silenziosamente, ogni protezione collegata a esso si disattiva contemporaneamente: nessun controllo della reputazione SmartScreen, nessuna Office Protected View, nessun blocco delle macro, nessun prompt Smart App Control<\/cite>. L’utente non vede nulla di strano; il file scaricato da internet appare come locale e fidato.<\/p>\n

Lo Scenario d’Attacco Reale: Come Funziona<\/h2>\n

CVE-2026-96951 consente agli attaccanti di rimuovere il tag Mark of the Web (MotW) Zone.Identifier dal flusso dati alternativo (ADS) dei file all’interno di formati di archivio appositamente creati come ZIP, ISO e IMG<\/cite>. Ecco lo scenario che ho visto dispiegarsi:<\/p>\n

    \n
  1. Delivery via Email\/Chat<\/strong>: L’attaccante invia un file distribuito tramite email, instant messaging (Teams, Slack) o siti web compromessi<\/cite>.<\/li>\n
  2. Archive Processing<\/strong>: Quando Windows Shell elabora un archivio creato ad hoc, non riesce a propagare il tag MotW ai file estratti, quindi SmartScreen e Office Protected View considerano il payload come contenuto localmente affidabile<\/cite>.<\/li>\n
  3. Silent Execution<\/strong>: Il contenuto dannoso raggiunge gli utenti senza i soliti avvisi di sicurezza o una gestione protettiva, facilitando la consegna del malware basata su phishing e l’esecuzione successiva del payload<\/cite>.<\/li>\n<\/ol>\n

    Nel mio team, il primo segnale d’allarme \u00e8 stato un utente che ha ricevuto uno ZIP da “un collega”, l’ha estratto, e il documento Word al suo interno si \u00e8 aperto senza la solita Protected View di Office. Questo \u00e8 il campanello d’allarme di MotW bypass.<\/p>\n

    Mitigazione Immediata: I Passi che Ho Implementato<\/h2>\n

    Passo 1: Applicare il Patch Critico Immediatamente<\/h3>\n

    Microsoft ha aggiustato CVE-2026-96951 nell’aggiornamento di sicurezza di ottobre 2026<\/cite>. Nel mio ambiente, ho prioritizzato i sistemi che gestiscono contenuti sensibili:<\/p>\n

    : Ricerca gli aggiornamenti cumulativi di ottobre 2026 per la tua versione Windows\n# Ad esempio, per Windows 11 26H1:\nGet-WindowsUpdate -Online -Install -Updates \"KB5127646\"\n\n: Forza il restart in una finestra di manutenzione planificata\n$restartTime = (Get-Date).AddHours(2)\nShutdown.exe \/r \/t 7200 \/c \"CVE-2026-96951 Critical Patch - Mark of the Web Bypass Fix\"\n<\/code><\/pre>\n
    Ho testato il patch in un ambiente di staging per 48 ore prima del deployment in produzione. La chiave \u00e8 verificare che le tue line-of-business applications<\/em> funzionino ancora normalmente dopo l’aggiornamento.<\/p>\n
    Passo 2: Bloccare gli Archivi Non Fidati con GPO<\/h3>\n
    Mentre il patch si diffonde, ho configurato una Criteri di Gruppo per limitare chi pu\u00f2 estrarre archivi su sistemi critici:<\/p>\n
    : Configurazione GPO per limitare l'estrazione di ZIP\n# Computer Configuration > Windows Settings > Security Settings > Advanced Audit Policy\n# Audit File Share, Detailed File Share, Audit Other Object Access Events\n\n# In alternativa, su Windows 11 Enterprise, usa AppLocker:\nNew-AppLockerPolicy -RuleType Publisher -User Everyone -RuleCollectionType Exe, Dll, Script, Msi -RuleType Hash -Enforcement Enforced | Out-File \"$env:TEMPAppLocker.xml\"\n\n: Blocca direttamente l'esecuzione da cartelle TEMP\n# Gpo: Computer Configuration > Administrative Templates > System > Run\n# Blocca PowerShell da zone non attendibili\nSet-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser\n<\/code><\/pre>\n
    Passo 3: Monitoraggio con Auditing Avanzato<\/h3>\n
    Ho configurato l’Event Viewer per rilevare tentativi di MotW bypass:<\/p>\n
    : Abilitare Audit per Zone.Identifier ADS\nauditpol.exe \/set \/subcategory:\"File System\" \/success:enable \/failure:enable\nauditpol.exe \/set \/subcategory:\"Other Object Access Events\" \/success:enable \/failure:enable\n\n: Cercare event ID 4663 (tentativo di accesso a oggetto) e ID 4656 (apertura handle)\n# Filtra i log per cercari pattern sospetti di ADS manipulation\nGet-EventLog -LogName Security -InstanceId 4663, 4656 -After (Get-Date).AddDays(-1) | `\n  Where-Object { $_.Message -like \"*Zone.Identifier*\" }\n<\/code><\/pre>\n
    Hardening WDAC per Proteggere i Moduli Dinamici<\/h2>\n
    La vera difesa, nella mia opinione, non \u00e8 reattiva ma proattiva. Con una policy di App Control, il codice si esegue solo se la policy lo consente. Questo copre eseguibili, DLL e driver, pi\u00f9 script, installer MSI e PowerShell, che scende in Constrained Language Mode per qualsiasi cosa la policy non si fida<\/cite>.<\/p>\n
    Creazione di una Policy WDAC di Base<\/h3>\n
    Ho iniziato con il template Microsoft DefaultWindows, personalizzato per il nostro ambiente:<\/p>\n
    : Generare una policy di base da un sistema di riferimento pulito\nNew-CIPolicy -Level Publisher -Fallback Hash -FilePath \"C:WDACBasePolicy.xml\" -UserPE -AllowUnsigned -ScanPath \"C:Program Files\" -Audit\n\n: Convertire in binario e applicare\nConvertFrom-CIPolicy -XmlFilePath \"C:WDACBasePolicy.xml\" -BinaryFilePath \"C:WDACBasePolicy.cip\"\nCopy-Item \"C:WDACBasePolicy.cip\" \"C:WindowsSystem32CodeIntegritySIPolicy.p7b\"\n<\/code><\/pre>\n
    Dynamic Code Security per .NET e Librerie Caricate Dinamicamente<\/h3>\n
    Nel mio caso, ho molte applicazioni .NET legacy che caricano moduli dinamicamente in runtime. Quando Dynamic Code Security \u00e8 abilitato, applica le policy WDAC alle applicazioni .NET e alle librerie caricate dinamicamente<\/cite>. Ecco come l’ho configurato:<\/p>\n
    : Abilitare Dynamic Code Security nella policy WDAC\n# Modifica il file XML della policy prima della conversione\n[xml]$policy = Get-Content \"C:WDACBasePolicy.xml\"\n$rule = $policy.SiPolicy.Rules.Rule | Where-Object { $_.Id -eq \"0B3C2B4D-F15E-4D2F-A7F5-B8C9E1A4D5F6\" }\nif ($rule) {\n    $rule.Option = \"19\"  # Abilita Dynamic Code Security\n    $policy.Save(\"C:WDACBasePolicy.xml\")\n}\n\n: Aggiungi un whitelist per le DLL di fiducia caricate dinamicamente\n$cert = (Get-AuthenticodeSignature -FilePath \"C:PathToTrustedLib.dll\").SignerCertificate\n$rule = New-CIPolicyRule -Level Publisher -Certificate $cert\nAdd-CIPolicyRules -PolicyPath \"C:WDACBasePolicy.xml\" -Rules $rule\n<\/code><\/pre>\n
    Deploy in Audit Mode: La Chiave del Successo<\/h3>\n
    La configurazione consigliata \u00e8 di deployare WDAC in modalit\u00e0 di audit (registrare le violazioni senza bloccare) usando la policy firmata e affidabile come base, quindi aggiungere regole di editore e percorso per il software critico del business non coperto. Passa alla modalit\u00e0 di enforce dopo aver riveduto il log di audit e affinato la policy<\/cite>.<\/p>\n
    Nel mio ambiente, ho lasciato la policy in Audit per 2 settimane:<\/p>\n
    : Monitorare Event ID 3076 (WDAC Audit)\nGet-EventLog -LogName \"Microsoft-Windows-CodeIntegrity\/Operational\" -InstanceId 3076 -After (Get-Date).AddHours(-24) | `\n  Select-Object TimeGenerated, Message | Format-Table -AutoSize\n\n: Estrarre i binari bloccati e creare whitelist\n$blockedFiles = Get-EventLog -LogName \"Microsoft-Windows-CodeIntegrity\/Operational\" -InstanceId 3076 | `\n  Select-Object -ExpandProperty Message | `\n  Where-Object { $_ -match 'File Name: (.*)' } | `\n  ForEach-Object { $matches[1] }\n\n# Aggiungi publisher rules per software legittimo\nforeach ($file in $blockedFiles) {\n    $cert = (Get-AuthenticodeSignature -FilePath $file).SignerCertificate\n    if ($cert) {\n        New-CIPolicyRule -Level Publisher -Certificate $cert -FilePath $file\n    }\n}\n<\/code><\/pre>\n
    Gestione delle Eccezioni con Policy Supplementari<\/h3>\n
    Nel tempo, ho scoperto che una singola policy di base diventa poco gestibile. Una policy di base stabilisce i controlli a livello organizzativo, mentre le policy supplementari aggiungono eccezioni per specifici dipartimenti, applicazioni o casi d’uso senza modificare la base. Pi\u00f9 policy supplementari possono essere attive contemporaneamente, semplificando la gestione delle eccezioni<\/cite>.<\/p>\n
    Ho creato una policy supplementare per il nostro reparto Sviluppo, che ha bisogno di compilatori e debugger non firmati:<\/p>\n
    : Creare una policy supplementare per Development\nNew-CIPolicy -Level Hash -FilePath \"C:WDACDevPolicy.xml\" -ScanPath \"C:Program FilesMicrosoft Visual Studio\" -UserPE -SupplementalPolicy\n\n: Convertire e mergiare\nConvertFrom-CIPolicy -XmlFilePath \"C:WDACDevPolicy.xml\" -BinaryFilePath \"C:WDACDevPolicy.cip\"\nMerge-CIPolicy -PolicyPaths \"C:WDACBasePolicy.xml\", \"C:WDACDevPolicy.xml\" -OutputFilePath \"C:WDACMergedPolicy.xml\"\n\n: Deployare tramite Intune o GPO\n# Intune: Endpoint Security > App Control\n# GPO: Computer Configuration > Administrative Templates > System > Device Guard > Configure Code Integrity Policy\n<\/code><\/pre>\n
    Detection: Come Riconoscere i Tentativi di Sfruttamento<\/h2>\n
    I difensori dovrebbero correlare gli eventi di consegna di file sospetti con l’attivit\u00e0 di processo successiva e determinare se il contenuto ottenuto da una fonte esterna si \u00e8 eseguito senza i controlli normali associati al MotW<\/cite>.<\/p>\n
    Ho configurato questa ricerca Kusto nel mio SIEM (se usi Microsoft Sentinel):<\/p>\n
    : Cercare MotW bypass attempts\nSecurityEvent\n| where EventID in (4688, 4689)  \/\/ Process creation\/termination\n| where ParentImage contains \"explorer.exe\" or ParentImage contains \"winrar.exe\"\n| where CommandLine contains (\".zip\", \".iso\", \".img\")\n| join kind=inner (\n    SecurityEvent\n    | where EventID == 15  \/\/ File created (if audit enabled)\n    | where TargetFilename !contains \"AppData\\\"\n    | where TargetFilename !contains \"Temp\\\"\n  ) on Computer\n| project TimeGenerated, Computer, ParentImage, CommandLine, TargetFilename\n<\/code><\/pre>\n
    Plan di Incident Response Specifico per CVE-2026-96951<\/h2>\n
    Ho documentato il nostro IR playbook interno per questa minaccia:<\/p>\n
      \n
    1. Isolamento Rapido<\/strong>: Se un utente ha estratto un file da un archivio potenzialmente sospetto, disconnettilo dalla rete entro 5 minuti.<\/li>\n
    2. Verifica dell’Esecuzione<\/strong>: Eseguire una ricerca nei log di processo per verificare se il file \u00e8 stato effettivamente eseguito.<\/li>\n
    3. Malware Scan Completo<\/strong>: Eseguire un scan offline del sistema con Defender offline o un tool EDR dedicato.<\/li>\n
    4. Credential Reset<\/strong>: Se l’esecuzione \u00e8 confermata, resettare le password dell’utente come misura precauzionale.<\/li>\n
    5. Threat Hunt Laterale<\/strong>: Verificare i log di accesso di rete per identificare tentativi di movimento laterale.<\/li>\n<\/ol>\n
      Ho automatizzato parte di questo in PowerShell per velocit\u00e0:<\/p>\n
      : Playbook di IR automatizzato\nfunction Invoke-CVE202696951Response {\n    param(\n        [string]$ComputerName\n    )\n    \n    # 1. Isolamento di rete\n    Set-NetFirewallProfile -Profile Domain, Public -Enabled True\n    New-NetFirewallRule -DisplayName \"CVE-2026-96951 Isolation\" -Direction Outbound -Action Block -Profile Domain\n    \n    # 2. Cattura log di processo\n    $processes = Get-WinEvent -FilterHashtable @{\n        LogName = 'Security'\n        Id = 4688\n        StartTime = (Get-Date).AddHours(-4)\n    } -ComputerName $ComputerName\n    \n    # 3. Ricerca file ZIP\/ISO\/IMG estratti di recente\n    $suspiciousFiles = Invoke-Command -ComputerName $ComputerName -ScriptBlock {\n        Get-ChildItem -Path \"$env:USERPROFILEDownloads\", \"$env:TEMP\" -Recurse -Include *.zip, *.iso, *.img -File | `\n            Where-Object { $_.LastWriteTime -gt (Get-Date).AddHours(-4) }\n    }\n    \n    # 4. Avvia scan offline\n    Start-MpWDOScan -ComputerName $ComputerName\n    \n    # 5. Log per IR team\n    Write-Output @{\n        ComputerName = $ComputerName\n        IsolationTime = Get-Date\n        ProcessEvents = $processes.Count\n        SuspiciousFiles = $suspiciousFiles\n    } | Export-Csv -Path \"C:IRCVE-2026-96951-$ComputerName-$(Get-Date -Format 'yyyyMMdd-HHmmss').csv\"\n}\n<\/code><\/pre>\n
      FAQ<\/h2>\n
      Questo riguarda solo Windows 11?<\/h3>\n
      I prodotti interessati includono Windows 10, pi\u00f9 versioni di Windows 11, edizioni di Windows Server e Outlook.com prima della sua correzione lato servizio<\/cite>. Nel mio caso, ho dovuto patchiare anche server legacy con Windows Server 2016 e 2019.<\/p>\n
      Se applico il patch, sono completamente protetto?<\/h3>\n
      Il patch risolve il vettore specifico di CVE-2026-96951, ma non \u00e8 una soluzione completa. Le minacce di phishing e malware continuano. Il patch rimuove un bypass noto, non ogni rischio basato su file. Per questo ho aggiunto WDAC in cima al patch.<\/p>\n
      WDAC bloccher\u00e0 le mie applicazioni?<\/h3>\n
      Probabile, se non eseguito correttamente. Questo \u00e8 il motivo per cui sempre<\/strong> inizio in Audit Mode per almeno 1-2 settimane. Ho visto troppe implementazioni WDAC fallire in 24 ore perch\u00e9 nessuno aveva documentato tutte le applicazioni in uso.<\/p>\n
      Come rilevo se la mia organizzazione \u00e8 stata compromessa via CVE-2026-96951?<\/h3>\n
      Cerca: (1) File estratti da ZIP\/ISO\/IMG senza MotW, (2) Processi figli inaspettati da documenti Office aperti, (3) Accessi di rete improvvisi da un client di zona precedentemente dormiente. Ho incluso una query SIEM sopra per automatizzare questo.<\/p>\n
      Devo disabilitare WinRAR o software di compressione?<\/h3>\n
      No, ma puoi aggiungere regole WDAC per forzare il propagamento del MotW quando WinRAR estrae file. La vulnerabilit\u00e0 \u00e8 in Windows Shell, non negli estrattori stessi.<\/p>\n
      Conclusione<\/h2>\n
      CVE-2026-96951 rappresenta una minaccia reale e attiva. Nella mia esperienza, la migliore difesa \u00e8 un approccio multi-layer: (1) patch critico di ottobre 2026 applicato immediatamente, (2) WDAC in Audit Mode per aumentare la visibilit\u00e0, (3) Event monitoring per rilevare tentativi di bypass, (4) un IR playbook ben documentato.<\/p>\n
      Non \u00e8 solo un patch da installare e dimenticare. \u00c8 l’occasione per ripensare il tuo approccio al code integrity e all’application control. Se stai ancora usando AppLocker, ora \u00e8 il momento di pianificare la migrazione a WDAC. Se gestisci infrastrutture critiche, considera di deployare WDAC in enforce mode dopo aver completato l’audit.<\/p>\n
      Se hai domande sulla configurazione WDAC nel tuo ambiente specifico, o se hai riscontrato problemi di compatibilit\u00e0 durante l’implementazione, lascia un commento qui sotto. Sono sempre disponibile per aiutare i colleghi IT a navigare queste sfide.<\/p>\n
      Azioni immediate<\/strong>: Applica KB5127646 o l’equivalente per la tua versione Windows entro questa settimana. Configura l’auditing di Zone.Identifier ADS. Avvia una valutazione WDAC nel tuo ambiente di test. Documenta tutte le applicazioni in uso prima di transitare a enforce mode.<\/p>\n","protected":false},"excerpt":{"rendered":"
      CVE-2026-96951 \u00e8 uno zero-day attivo che bypassa Mark of the Web in Windows Shell. Scopri la mitigazione immediata con patch October 2026, hardening WDAC per moduli dinamici e il mio IR playbook testato in produzione.<\/p>\n","protected":false},"author":1,"featured_media":6099,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"CVE-2026-96951 Mark of the Web Bypass: Guida WDAC Hardening | Dario Iannascoli","_seopress_titles_desc":"CVE-2026-96951 Windows Shell MotW bypass: exploit scenario, patch immediato, WDAC hardening per moduli dinamici, detection hunting e incident response playbook.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"CVE-2026-96951 Mark of the Web Bypass: Guida WDAC Hardening | Dario Iannascoli","_seopress_social_fb_desc":"CVE-2026-96951 Windows Shell MotW bypass: exploit scenario, patch immediato, WDAC hardening per moduli dinamici, detection hunting e incident response playbook.","_seopress_social_fb_img":"https:\/\/darioiannascoli.it\/blog\/wp-content\/uploads\/2026\/10\/come-mitigare-cve-2026-96951-windows-shell-mark-of-the-web-bypass-la-mia-procedura-exploit-scenario-hardening-wdac-e-inc-1792494130.jpg","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"CVE-2026-96951 Mark of the Web Bypass: Guida WDAC Hardening | Dario Iannascoli","_seopress_social_twitter_desc":"CVE-2026-96951 Windows Shell MotW bypass: exploit scenario, patch immediato, WDAC hardening per moduli dinamici, detection hunting e incident response playbook.","_seopress_social_twitter_img":"https:\/\/darioiannascoli.it\/blog\/wp-content\/uploads\/2026\/10\/come-mitigare-cve-2026-96951-windows-shell-mark-of-the-web-bypass-la-mia-procedura-exploit-scenario-hardening-wdac-e-inc-1792494130.jpg","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"CVE-2026-96951,Windows Shell Mark of the Web bypass,WDAC hardening,Dynamic Code Security,MotW bypass mitigation","footnotes":""},"categories":[6],"tags":[1445,631,364,1452,638],"class_list":["post-6098","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-windows","tag-cve-2026-96951","tag-incident-response","tag-patch-tuesday","tag-wdac","tag-windows-security"],"_links":{"self":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts\/6098","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/comments?post=6098"}],"version-history":[{"count":0,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/posts\/6098\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/media\/6099"}],"wp:attachment":[{"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/media?parent=6098"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/categories?post=6098"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/darioiannascoli.it\/blog\/wp-json\/wp\/v2\/tags?post=6098"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}