SudoWP Adminer (Fork de Seguridad)

Colaboradores: SudoWP, WP Republic
Autores originales: Frank Bültge, Inpsyde
Etiquetas: adminer, database, security, cve-2021-21311, ssrf-patch
Requiere al menos: 5.8
Probado hasta: 6.7
Versión estable: 1.5.0
Licencia: GPLv2 o posterior

Aviso de seguridad (CVE-2021-21311)

Este es un fork reforzado en seguridad del plugin de WordPress "Adminer".

La amenaza: Las instalaciones estándar de Adminer a menudo permiten Server-Side Request Forgery (SSRF). Los atacantes pueden usar el formulario de inicio de sesión para forzar al servidor a conectarse a servicios internos (por ejemplo, metadatos de AWS, APIs internas), lo que lleva a la divulgación de información.

La solución: SudoWP Adminer aplica una política de "Solo localhost". Codifica la conexión a la base de datos de WordPress definida en wp-config.php, mitigando completamente el vector SSRF.

** Aviso de seguridad importante:** Este plugin usa la versión 4.2.4 (2015) del núcleo de Adminer. Si bien CVE-2021-21311 está corregido, el núcleo más antiguo puede tener otras vulnerabilidades conocidas. El modelo de seguridad de solo administrador y solo localhost reduce significativamente el riesgo. Consulte SECURITY.md para más detalles.

Uso recomendado:

• Entornos de desarrollo y pruebas
• Instalaciones de WordPress privadas y de confianza
• Usar con precaución en entornos de producción

---

Descripción

SudoWP Adminer proporciona una interfaz de gestión de bases de datos potente (similar a phpMyAdmin) pero asegurada específicamente para entornos WordPress.

Características de refuerzo de seguridad

1. Prevención de SSRF:

   • Los campos "Servidor", "Usuario" y "Contraseña" son eliminados.
   • La conexión está estrictamente limitada a los valores locales de DB_HOST, DB_USER y DB_PASSWORD.

2. Control de acceso:

   • Solo administradores: La herramienta verifica estrictamente current_user_can('manage_options') antes de cargar.
   • Bloqueo de acceso directo: Intentar acceder a los archivos .php directamente a través del navegador devuelve un error 403 Forbidden.

3. Inicio de sesión automático:

   • La autenticación se maneja a través de la sesión de WordPress. Si has iniciado sesión en el admin de WP, tienes acceso a la base de datos.

Instalación

1. Descarga el repositorio.
2. Importante: Desactiva y elimina cualquier plugin Adminer existente.
3. Sube la carpeta sudowp-adminer a tu directorio /wp-content/plugins/.
4. Activa el plugin.
5. Accede a través del elemento de menú SudoWP Adminer.

Registro de cambios

Versión 1.5.0 (Edición SudoWP)

• Corrección de seguridad: Solucionada la vulnerabilidad crítica SSRF (CVE-2021-21311).
• Corrección de seguridad: Implementado control de acceso de "Confianza Cero" (solo administradores).
• UX: Añadido inicio de sesión automático sin interrupciones.
• Renombramiento: Bifurcado como SudoWP Adminer.

---

Mantenido por el Proyecto de Seguridad SudoWP.