SudoWP PostGallery (نسخة أمنية معدّلة)

المساهمون: SudoWP, WP Republic
المؤلفون الأصليون: RTO GmbH
الوسوم: gallery, security, patched, cve-2025-13543
يتطلب على الأقل: 5.8
تم الاختبار حتى: 6.7
العلامة المستقرة: 1.12.6
الترخيص: GPLv2 أو أحدث

إشعار أمني

هذه نسخة معدّلة أمنيًا (fork) من إضافة "PostGallery" المهجورة. تم إغلاق الإضافة الأصلية على WordPress.org في 2 ديسمبر 2025 بسبب ثغرات أمنية خطيرة.

رابط الإضافة الأصلية: https://wordpress.org/plugins/postgallery/

---

الوصف

تعيد SudoWP PostGallery وظائف إضافة PostGallery الشهيرة مع إصلاح الثغرات الأمنية الحرجة التي كانت تترك المواقع عرضة للاختراق.

التصحيحات الأمنية المطبقة

أجرينا مراجعة كاملة للكود وطبقنا الإصلاحات التالية:

1. إصلاح ثغرة رفع الملفات العشوائي (CVE-2025-13543):

   • كان رافع الملفات الأصلي يقبل أي نوع ملفات تقريبًا. قمنا بتنفيذ قائمة مسموح بها صارمة تسمح فقط بـ jpg, jpeg, png, gif, و webp.
   • أضفنا التحقق من نوع MIME باستخدام finfo_file لمنع انتحال الامتداد (مثل: رفع ملف .php أعيدت تسميته إلى .jpg).

2. تقوية التحكم في الوصول:

   • إزالة وصول الزوار: كان الكود الأصلي يسمح للمستخدمين غير المصادق عليهم (خطافات nopriv) بالوصول إلى معالج الرفع. تمت إزالة هذه الخطافات.
   • فحوصات الصلاحية: أضفنا current_user_can('upload_files') إلى جميع إجراءات AJAX الحساسة (delete, rename, rotate, save_meta).

3. تعقيم المدخلات:

   • فرضنا دالة WordPress الأصلية sanitize_file_name() على جميع مدخلات الملفات.

التثبيت

1. قم بتنزيل المستودع.
2. مهم: قم بتعطيل وحذف إضافة "PostGallery" الأصلية إذا كانت مثبتة.
3. قم برفع مجلد sudowp-postgallery إلى دليل /wp-content/plugins/ الخاص بك.
4. قم بتفعيل الإضافة.

سجل التغييرات

الإصدار 1.12.6 (إصدار SudoWP)

• إصلاح أمني: تم تصحيح ثغرة رفع الملفات العشوائية الحرجة.
• إصلاح أمني: قيّد وظيفة الرفع إلى مديري الموقع المصادق عليهم فقط.
• إصلاح أمني: تم تنفيذ محرك تحقق صارم من أنواع الملفات.
• إعادة تسمية: تم اشتقاقها (fork) باسم SudoWP PostGallery.

---

تُصان بواسطة مشروع SudoWP للأمن.