Installation

1. Téléchargez le fichier zip du plugin (ou clonez ce dépôt).
2. Important : Désactivez et supprimez le plugin original « Startklar Elementor Addons » s'il est installé (pour éviter les conflits de classes).
3. Téléversez le dossier sudowp-dropzone-elementor dans votre répertoire /wp-content/plugins/.
4. Activez le plugin via le menu 'Extensions' dans WordPress.
5. Assurez-vous que Elementor et Elementor Pro sont installés et actifs.

Questions fréquemment posées

Ce plugin est-il compatible avec le plugin Startklar original ? Non. Il s'agit d'un fork autonome. Vous devez désactiver et supprimer le plugin original « Startklar Elementor Addons » pour utiliser cette version, car ils partagent des noms de classes similaires mais ont des structures de fichiers et une logique de sécurité différentes.

Pourquoi utiliser ceci plutôt que le plugin officiel ? Le plugin officiel a été abandonné et contient des vulnérabilités de sécurité connues qui permettent aux attaquants de télécharger des fichiers exécutables (PHP) ou de manipuler les répertoires du serveur. Ce fork corrige ces problèmes tout en conservant les fonctionnalités intactes.

Prend-il en charge les téléchargements de fichiers PHP ? Non. Pour des raisons de sécurité, ce fork interdit strictement les extensions de fichiers PHP, EXE et autres fichiers exécutables, indépendamment de vos paramètres Elementor ou WordPress.

Changelog

Version 1.7.17 (Édition renforcée pour la sécurité SudoWP)

• Amélioration de la sécurité : Ajout de la protection CSRF avec vérification de nonce sur tous les gestionnaires AJAX.
• Amélioration de la sécurité : Ajout de l'enregistrement manquant du gestionnaire AJAX pour le sélecteur de pays.
• Correction de sécurité : Correction de la vulnérabilité SSRF en supprimant les requêtes HTTP externes.
• Amélioration de la sécurité : Extension de la liste des extensions de fichiers interdites (ajout de PHP8, JSP, ASP, SVG, etc.).
• Amélioration de la sécurité : Ajout de la validation des doubles extensions pour empêcher les attaques de falsification de fichiers.
• Amélioration de la sécurité : Ajout de la validation de la taille des fichiers par rapport aux limites de WordPress.
• Amélioration de la sécurité : Renforcement de la validation des chemins pour empêcher le Directory Traversal.
• Amélioration de la sécurité : Ajout de la protection XSS avec un échappement approprié des sorties.
• Amélioration de la sécurité : Ajout de la vérification de nonce à la page des paramètres d'administration.
• Documentation : Ajout d'un rapport d'audit de sécurité complet (SECURITY_AUDIT.md).

Version 1.7.16 (Édition SudoWP)

• Correction de sécurité : Correction de la vulnérabilité critique de Directory Traversal (CVE-2024-5153) dans dropzone_form_field.php.
• Correction de sécurité : Correction de la vulnérabilité de téléchargement arbitraire de fichiers. Ajout d'une liste de refus stricte côté serveur pour les extensions PHP/exécutables.
• Renforcement : Modification des permissions du dossier de téléchargement temporaire de 0777 (accessible en écriture par tous) à 0755.
• Maintenance : Refonte de la base de code pour utiliser la convention de nommage sudowp-.
• Maintenance : Mise à jour de l'URI de l'auteur et de l'image de marque pour refléter la maintenance par SudoWP.