Recencio Critiques de livres

Un plugin WordPress pour gérer et afficher des critiques de livres. Type de publication personnalisé, 7 taxonomies, 13 shortcodes, 7 widgets, 6 modèles, 5 extensions. Toutes les données sont stockées dans les métadonnées standard de WordPress — pas de tables personnalisées.

Contexte

Recencio Critiques de livres a été créé par Kemory Grubb (w33zy) et publié sur le répertoire des plugins WordPress. Kemory est décédé en 2024. Le plugin a été laissé sans maintenance avec une vulnérabilité XSS stockée connue (CVE-2024-33648) et sans possibilité de correctif.

En 2026, Tom Stayte a adopté le plugin. Le code source original a été forké depuis le dépôt GitLab de Kemory, la CVE a été corrigée, et un audit de sécurité complet a été effectué avant le déploiement en production.

Ce dépôt est la continuation de ce travail. Le plugin sera soumis à nouveau au répertoire des plugins WordPress sous une nouvelle maintenance.

Sécurité

Le plugin a subi une refonte complète de la sécurité des versions 1.67.0 à 1.70.0 :

• CVE-2024-33648 — XSS stockée authentifiée (Contributeur+). Corrigé dans la 1.67.0.
• 57 vulnérabilités supplémentaires identifiées et corrigées au cours de 5 cycles d'audit indépendants couvrant ~90 fichiers PHP.

La méthode d'audit :

1. Audit 1 — Audit initial de l'ensemble du code. 49 problèmes trouvés et corrigés (vérification des nonces, $wpdb->prepare(), assainissement des entrées, échappement des sorties). La vérification après correction a confirmé la résolution des 49.
2. Audit 2 — Deuxième passage indépendant. 4 problèmes supplémentaires trouvés et corrigés. Vérifié après correction.
3. Audit 3 — Troisième passage indépendant. 4 problèmes supplémentaires trouvés et corrigés. Vérifié après correction.
4. Audit 4 — Quatrième passage indépendant. 1 XSS stockée supplémentaire trouvée et corrigée dans les attributs de style des liens d'achat. Vérifié après correction.
5. Audit 5 — Révision finale en chambre blanche (sans accès au contexte d'audit précédent). Aucun résultat à un seuil de confiance >= 0,8.

Tous les résultats sont documentés dans le répertoire audit/.

Validé par Patchstack.

Toutes les corrections préservent la compatibilité ascendante. Les installations existantes peuvent passer de la version 1.66.0 sans perte de données.

Contribution

Signalez des bogues ou suggérez des fonctionnalités via les issues GitHub.

Les pull requests sont les bienvenues. Le codebase suit les standards de codage PHP de WordPress.

Licence

GPL-2.0-ou-ultérieure. Voir LICENSE.txt.

Copyright 2014-2024 Kemory Grubb Copyright 2026 Tom Stayte