SudoWP PostGallery (Fork de sécurité)

Contributeurs : SudoWP, WP Republic
Auteurs originaux : RTO GmbH
Tags : gallery, security, patched, cve-2025-13543
Nécessite au moins : 5.8
Testé jusqu'à : 6.7
Version stable : 1.12.6
Licence : GPLv2 ou ultérieure

Avis de sécurité

Ceci est un fork renforcé sur le plan de la sécurité du plugin "PostGallery" abandonné. Le plugin original a été fermé sur WordPress.org le 2 décembre 2025 en raison de graves vulnérabilités de sécurité.

Lien vers le plugin original : https://wordpress.org/plugins/postgallery/

---

Description

SudoWP PostGallery restaure les fonctionnalités du populaire plugin PostGallery tout en corrigeant des failles de sécurité critiques qui rendaient les sites vulnérables au piratage.

Correctifs de sécurité mis en œuvre

Nous avons effectué un audit complet du code et appliqué les correctifs suivants :

1. Correction du téléchargement arbitraire de fichiers (CVE-2025-13543) :

   • Le téléchargeur original acceptait presque tous les types de fichiers. Nous avons mis en place une liste blanche stricte qui autorise uniquement jpg, jpeg, png, gif et webp.
   • Ajout d'une validation du type MIME via finfo_file pour empêcher l'usurpation d'extension (par exemple, télécharger un fichier .php renommé en .jpg).

2. Renforcement du contrôle d'accès :

   • Suppression de l'accès invité : Le code original permettait aux utilisateurs non authentifiés (hooks nopriv) d'accéder au gestionnaire de téléchargement. Ces hooks ont été supprimés.
   • Vérifications de capacités : Ajout de current_user_can('upload_files') à toutes les actions AJAX sensibles (delete, rename, rotate, save_meta).

3. Assainissement des entrées :

   • Application de la fonction native WordPress sanitize_file_name() sur toutes les entrées de fichiers.

Installation

1. Téléchargez le dépôt.
2. Important : Désactivez et supprimez le plugin original "PostGallery" s'il est installé.
3. Téléversez le dossier sudowp-postgallery dans votre répertoire /wp-content/plugins/.
4. Activez le plugin.

Journal des modifications

Version 1.12.6 (Édition SudoWP)

• Correction de sécurité : Vulnérabilité critique de téléchargement arbitraire de fichiers corrigée.
• Correction de sécurité : Fonctionnalité de téléchargement restreinte aux administrateurs authentifiés uniquement.
• Correction de sécurité : Moteur strict de validation des types de fichiers mis en œuvre.
• Re-branding : Forké sous le nom SudoWP PostGallery.

---

Maintenu par le SudoWP Security Project.