SudoWP Adminer (Sicherheits-Fork)

Mitwirkende: SudoWP, WP Republic
Ursprüngliche Autoren: Frank Bültge, Inpsyde
Tags: adminer, database, security, cve-2021-21311, ssrf-patch
Erfordert mindestens: 5.8
Getestet bis: 6.7
Stabile Version: 1.5.0
Lizenz: GPLv2 oder später

Sicherheitshinweis (CVE-2021-21311)

Dies ist ein sicherheitsgehärteter Fork des WordPress-Plugins „Adminer“.

Die Bedrohung: Standard-Adminer-Installationen ermöglichen oft Server-Side Request Forgery (SSRF). Angreifer können das Anmeldeformular nutzen, um den Server zu zwingen, sich mit internen Diensten zu verbinden (z. B. AWS Metadata, interne APIs), was zur Offenlegung von Informationen führt.

Die Lösung: SudoWP Adminer erzwingt eine „Nur-Localhost“-Richtlinie. Es hardcodiert die Verbindung zur WordPress-Datenbank aus der wp-config.php und entschärft den SSRF-Angriffsvektor vollständig.

** Wichtiger Sicherheitshinweis:** Dieses Plugin verwendet Adminer Core Version 4.2.4 (2015). Obwohl CVE-2021-21311 gepatcht wurde, kann der ältere Core weitere bekannte Schwachstellen aufweisen. Das Sicherheitsmodell „Nur-Admin, nur-Localhost“ reduziert das Risiko erheblich. Siehe SECURITY.md für Details.

Empfohlene Verwendung:

• Entwicklungs- und Staging-Umgebungen
• Vertrauenswürdige, private WordPress-Installationen
• Mit Vorsicht in Produktionsumgebungen verwenden

---

Beschreibung

SudoWP Adminer bietet eine leistungsstarke Datenbankverwaltungsoberfläche (ähnlich wie phpMyAdmin) aber speziell für WordPress-Umgebungen gesichert.

Sicherheitshärtungsfunktionen

1. SSRF-Prävention:

   • Die Felder „Server“, „Benutzername“ und „Passwort“ wurden entfernt.
   • Die Verbindung ist strikt auf die lokalen DB_HOST, DB_USER und DB_PASSWORD beschränkt.

2. Zugriffskontrolle:

   • Nur Administratoren: Das Tool überprüft strikt auf current_user_can('manage_options') vor dem Laden.
   • Direktzugriff gesperrt: Der Versuch, auf die .php-Dateien direkt über den Browser zuzugreifen, gibt einen 403 Forbidden-Fehler zurück.

3. Auto-Login:

   • Die Authentifizierung erfolgt über die WordPress-Sitzung. Wenn Sie im WP Admin eingeloggt sind, sind Sie auch in der Datenbank eingeloggt.

Installation

1. Laden Sie das Repository herunter.
2. Wichtig: Deaktivieren und löschen Sie alle vorhandenen Adminer-Plugins.
3. Laden Sie den Ordner sudowp-adminer in Ihr /wp-content/plugins/-Verzeichnis hoch.
4. Aktivieren Sie das Plugin.
5. Zugriff über den Menüpunkt SudoWP Adminer.

Änderungsprotokoll

Version 1.5.0 (SudoWP Edition)

• Sicherheitsfix: Kritische SSRF-Schwachstelle gepatcht (CVE-2021-21311).
• Sicherheitsfix: „Zero Trust“-Zugriffskontrolle implementiert (nur Administratoren).
• UX: Nahtloses Auto-Login hinzugefügt.
• Rebranding: Als SudoWP Adminer geforkt.

---

Gepflegt vom SudoWP Security Project.