SudoWP Adminer (Fork de sécurité)

Contributeurs : SudoWP, WP Republic
Auteurs originaux : Frank Bültge, Inpsyde
Étiquettes : adminer, database, security, cve-2021-21311, ssrf-patch
Nécessite au moins : 5.8
Testé jusqu'à : 6.7
Version stable : 1.5.0
Licence : GPLv2 ou ultérieure

Avis de sécurité (CVE-2021-21311)

Ceci est un fork renforcé en sécurité du plugin WordPress "Adminer".

La menace : Les installations standard d'Adminer permettent souvent une falsification de requête côté serveur (SSRF). Les attaquants peuvent utiliser le formulaire de connexion pour forcer le serveur à se connecter à des services internes (par exemple, les métadonnées AWS, les API internes), entraînant une divulgation d'informations.

La solution : SudoWP Adminer impose une politique "Localhost uniquement". Il code en dur la connexion à la base de données WordPress définie dans wp-config.php, atténuant complètement le vecteur SSRF.

** Avis de sécurité important :** Ce plugin utilise le cœur Adminer version 4.2.4 (2015). Bien que CVE-2021-21311 soit corrigé, le cœur plus ancien peut présenter d'autres vulnérabilités connues. Le modèle de sécurité admin-uniquement, localhost-uniquement réduit considérablement les risques. Voir SECURITY.md pour plus de détails.

Utilisation recommandée :

• Environnements de développement et de préproduction
• Installations WordPress privées et fiables
• Utiliser avec prudence dans les environnements de production

---

Description

SudoWP Adminer fournit une interface puissante de gestion de base de données (similaire à phpMyAdmin) mais sécurisée spécifiquement pour les environnements WordPress.

Fonctionnalités de durcissement de sécurité

1. Prévention SSRF :

   • Les champs "Serveur", "Nom d'utilisateur" et "Mot de passe" sont supprimés.
   • La connexion est strictement limitée aux DB_HOST, DB_USER et DB_PASSWORD locaux.

2. Contrôle d'accès :

   • Administrateurs uniquement : L'outil vérifie strictement current_user_can('manage_options') avant de charger.
   • Blocage d'accès direct : Tenter d'accéder aux fichiers .php directement via le navigateur renvoie une erreur 403 Interdit.

3. Connexion automatique :

   • L'authentification est gérée via la session WordPress. Si vous êtes connecté à WP Admin, vous êtes connecté à la base de données.

Installation

1. Téléchargez le dépôt.
2. Important : Désactivez et supprimez tout plugin Adminer existant.
3. Téléversez le dossier sudowp-adminer dans votre répertoire /wp-content/plugins/.
4. Activez le plugin.
5. Accédez via l'élément de menu SudoWP Adminer.

Journal des modifications

Version 1.5.0 (Édition SudoWP)

• Correction de sécurité : Correction de la vulnérabilité SSRF critique (CVE-2021-21311).
• Correction de sécurité : Mise en œuvre du contrôle d'accès "Zero Trust" (Administrateurs uniquement).
• UX : Ajout de la connexion automatique transparente.
• Renommage : Forké sous le nom SudoWP Adminer.

---

Maintenu par le Projet de Sécurité SudoWP.