Reseñas de Libros Recencio

Un plugin de WordPress para gestionar y mostrar reseñas de libros. Tipo de contenido personalizado, 7 taxonomías, 13 shortcodes, 7 widgets, 6 plantillas, 5 extensiones. Todos los datos almacenados en metadatos estándar de WordPress — sin tablas personalizadas.

Antecedentes

Reseñas de Libros Recencio fue creado por Kemory Grubb (w33zy) y publicado en el directorio de plugins de WordPress. Kemory falleció en 2024. El plugin quedó sin mantenimiento con una vulnerabilidad XSS almacenada conocida (CVE-2024-33648) y sin posibilidad de solución.

En 2026, Tom Stayte adoptó el plugin. El código original se bifurcó del repositorio de GitLab de Kemory, se parcheó el CVE y se realizó una auditoría de seguridad completa antes de implementarlo en producción.

Este repositorio es la continuación de ese trabajo. El plugin se volverá a enviar al directorio de plugins de WordPress bajo un nuevo mantenimiento.

Seguridad

El plugin ha pasado por una revisión de seguridad integral en las versiones 1.67.0 a 1.70.0:

• CVE-2024-33648 — XSS almacenado autenticado (Colaborador+). Parcheado en 1.67.0.
• 57 vulnerabilidades adicionales identificadas y corregidas en 5 rondas de auditoría independientes que cubren ~90 archivos PHP.

La metodología de auditoría:

1. Auditoría 1 — Auditoría inicial completa del código base. Se encontraron y parchearon 49 problemas (verificación de nonce, $wpdb->prepare(), sanitización de entrada, escape de salida). La verificación posterior al parche confirmó que los 49 estaban resueltos.
2. Auditoría 2 — Segunda pasada independiente. Se encontraron y parchearon 4 problemas adicionales. Verificado después del parche.
3. Auditoría 3 — Tercera pasada independiente. Se encontraron y parchearon 4 problemas adicionales. Verificado después del parche.
4. Auditoría 4 — Cuarta pasada independiente. Se encontró y parcheó 1 XSS almacenado adicional en atributos de estilo de enlace de compra. Verificado después del parche.
5. Auditoría 5 — Revisión final en entorno limpio (sin acceso al contexto de auditoría previa). Cero hallazgos con umbral de confianza >= 0.8.

Todos los hallazgos están documentados en el directorio audit/.

Validado por Patchstack.

Todas las correcciones preservan la compatibilidad hacia atrás. Las instalaciones existentes pueden actualizar desde la versión 1.66.0 sin pérdida de datos.

Contribuciones

Informe errores o sugiera funciones a través de GitHub issues.

Las solicitudes de extracción (pull requests) son bienvenidas. El código sigue los estándares de codificación PHP de WordPress.

Licencia

GPL-2.0-o-posterior. Consulte LICENSE.txt.

Derechos de autor 2014-2024 Kemory Grubb Derechos de autor 2026 Tom Stayte