SudoWP PostGallery (Fork de Seguridad)

Contribuidores: SudoWP, WP Republic
Autores originales: RTO GmbH
Etiquetas: gallery, security, patched, cve-2025-13543
Requiere al menos: 5.8
Probado hasta: 6.7
Versión estable: 1.12.6
Licencia: GPLv2 o posterior

Aviso de Seguridad

Este es un fork reforzado en seguridad del plugin abandonado "PostGallery". El plugin original fue cerrado en WordPress.org el 2 de diciembre de 2025, debido a graves vulnerabilidades de seguridad.

Enlace del plugin original: https://wordpress.org/plugins/postgallery/

---

Descripción

SudoWP PostGallery restaura la funcionalidad del popular plugin PostGallery mientras corrige fallos críticos de seguridad que dejaban los sitios vulnerables a ataques.

Parches de Seguridad Implementados

Hemos realizado una auditoría completa del código y aplicado las siguientes correcciones:

1. Corrección de Carga Arbitraria de Archivos (CVE-2025-13543):

   • El cargador original aceptaba casi cualquier tipo de archivo. Implementamos una Lista Blanca estricta que permite solo jpg, jpeg, png, gif y webp.
   • Se agregó Validación de Tipo MIME usando finfo_file para evitar la suplantación de extensiones (por ejemplo, subir un archivo .php renombrado a .jpg).

2. Endurecimiento del Control de Acceso:

   • Acceso de Invitados Eliminado: El código original permitía a usuarios no autenticados (hooks nopriv) acceder al manejador de carga. Estos hooks han sido eliminados.
   • Verificaciones de Capacidad: Se agregó current_user_can('upload_files') a todas las acciones AJAX sensibles (delete, rename, rotate, save_meta).

3. Sanitización de Entradas:

   • Se aplicó la función nativa sanitize_file_name() de WordPress en todas las entradas de archivos.

Instalación

1. Descargue el repositorio.
2. Importante: Desactive y elimine el plugin original "PostGallery" si está instalado.
3. Suba la carpeta sudowp-postgallery a su directorio /wp-content/plugins/.
4. Active el plugin.

Registro de Cambios

Versión 1.12.6 (Edición SudoWP)

• Corrección de Seguridad: Se parcheó la vulnerabilidad crítica de Carga Arbitraria de Archivos.
• Corrección de Seguridad: Se restringió la funcionalidad de carga solo a administradores autenticados.
• Corrección de Seguridad: Se implementó un motor estricto de validación de tipos de archivo.
• Renombre: Forkeado como SudoWP PostGallery.

---

Mantenido por el Proyecto de Seguridad SudoWP.