Recencio Buchrezensionen

Ein WordPress-Plugin zum Verwalten und Anzeigen von Buchrezensionen. Benutzerdefinierter Beitragstyp, 7 Taxonomien, 13 Shortcodes, 7 Widgets, 6 Vorlagen, 5 Erweiterungen. Alle Daten werden in standardmäßigen WordPress-Beitragsmetadaten gespeichert – keine benutzerdefinierten Tabellen.

Hintergrund

Recencio Buchrezensionen wurde von Kemory Grubb (w33zy) erstellt und im WordPress-Plugin-Verzeichnis veröffentlicht. Kemory verstarb im Jahr 2024. Das Plugin blieb ungewartet mit einer bekannten gespeicherten XSS-Schwachstelle (CVE-2024-33648) und ohne Möglichkeit einer Behebung.

Im Jahr 2026 übernahm Tom Stayte das Plugin. Der ursprüngliche Quellcode wurde aus Kemorys GitLab-Repository abgezweigt, die CVE wurde behoben und eine umfassende Sicherheitsüberprüfung durchgeführt, bevor es in die Produktion überführt wurde.

Dieses Repository ist die Fortsetzung dieser Arbeit. Das Plugin wird unter neuer Verwaltung erneut im WordPress-Plugin-Verzeichnis eingereicht.

Sicherheit

Das Plugin wurde einer umfassenden Sicherheitsüberholung in den Versionen 1.67.0 bis 1.70.0 unterzogen:

• CVE-2024-33648 — Authentifizierte (Contributor+) gespeicherte XSS. Behoben in 1.67.0.
• 57 zusätzliche Schwachstellen wurden in 5 unabhängigen Prüfungsrunden über ~90 PHP-Dateien identifiziert und behoben.

Die Prüfmethodik:

1. — Erste vollständige Codebasis-Prüfung. 49 Probleme gefunden und behoben (Nonce-Überprüfung, , Eingabebereinigung, Ausgabe-Escaping). Nach der Behebung wurde bestätigt, dass alle 49 gelöst sind.