SudoWP Adminer (सुरक्षा फोर्क)

योगदानकर्ता: SudoWP, WP Republic
मूल लेखक: Frank Bültge, Inpsyde
टैग: adminer, database, security, cve-2021-21311, ssrf-patch
न्यूनतम आवश्यकता: 5.8
परीक्षित तक: 6.7
स्थिर टैग: 1.5.0
लाइसेंस: GPLv2 या बाद का संस्करण

सुरक्षा सूचना (CVE-2021-21311)

यह "Adminer" WordPress प्लगइन का सुरक्षा-कठोर फोर्क है।

खतरा: मानक Adminer इंस्टॉलेशन अक्सर सर्वर-साइड रिक्वेस्ट फॉरजरी (SSRF) की अनुमति देते हैं। हमलावर लॉगिन फॉर्म का उपयोग करके सर्वर को आंतरिक सेवाओं (जैसे AWS मेटाडेटा, आंतरिक API) से कनेक्ट करने के लिए मजबूर कर सकते हैं, जिससे जानकारी का खुलासा होता है।

समाधान: SudoWP Adminer "केवल लोकलहोस्ट" नीति लागू करता है। यह wp-config.php में परिभाषित WordPress डेटाबेस से कनेक्शन को हार्डकोड करता है, जिससे SSRF वेक्टर पूरी तरह से कम हो जाता है।

** महत्वपूर्ण सुरक्षा सूचना:** यह प्लगइन Adminer कोर संस्करण 4.2.4 (2015) का उपयोग करता है। जबकि CVE-2021-21311 पैच किया गया है, पुराने कोर में अन्य ज्ञात कमजोरियाँ हो सकती हैं। केवल-एडमिन, केवल-लोकलहोस्ट सुरक्षा मॉडल जोखिम को काफी कम करता है। विवरण के लिए SECURITY.md देखें।

अनुशंसित उपयोग:

• विकास और स्टेजिंग वातावरण
• विश्वसनीय, निजी WordPress इंस्टॉलेशन
• उत्पादन वातावरण में सावधानी के साथ उपयोग करें

---

विवरण

SudoWP Adminer एक शक्तिशाली डेटाबेस प्रबंधन इंटरफ़ेस (phpMyAdmin के समान) प्रदान करता है, लेकिन विशेष रूप से WordPress वातावरण के लिए सुरक्षित किया गया है।

सुरक्षा कठोरीकरण सुविधाएँ

1. SSRF रोकथाम:

   • "सर्वर", "उपयोगकर्तानाम" और "पासवर्ड" फ़ील्ड हटा दिए गए हैं।
   • कनेक्शन सख्ती से स्थानीय DB_HOST, DB_USER और DB_PASSWORD तक सीमित है।

2. पहुँच नियंत्रण:

   • केवल एडमिन: टूल लोड होने से पहले current_user_can('manage_options') की सख्त जाँच करता है।
   • प्रत्यक्ष पहुँच अवरोध: ब्राउज़र के माध्यम से .php फ़ाइलों तक सीधे पहुँचने का प्रयास 403 Forbidden त्रुटि लौटाता है।

3. स्वचालित लॉगिन:

   • प्रमाणीकरण WordPress सत्र के माध्यम से संभाला जाता है। यदि आप WP एडमिन में लॉग इन हैं, तो आप डेटाबेस में लॉग इन हैं।

स्थापना

1. रिपॉजिटरी डाउनलोड करें।
2. महत्वपूर्ण: किसी भी मौजूदा Adminer प्लगइन को निष्क्रिय करें और हटाएं।
3. sudowp-adminer फ़ोल्डर को अपनी /wp-content/plugins/ निर्देशिका में अपलोड करें।
4. प्लगइन सक्रिय करें।
5. SudoWP Adminer मेनू आइटम के माध्यम से एक्सेस करें।

परिवर्तन लॉग

संस्करण 1.5.0 (SudoWP संस्करण)

• सुरक्षा सुधार: क्रिटिकल SSRF कमजोरी (CVE-2021-21311) पैच की गई।
• सुरक्षा सुधार: "ज़ीरो ट्रस्ट" पहुँच नियंत्रण लागू किया गया (केवल एडमिन)।
• UX: सहज स्वचालित लॉगिन जोड़ा गया।
• रीब्रांड: SudoWP Adminer के रूप में फोर्क किया गया।

---

SudoWP सुरक्षा परियोजना द्वारा अनुरक्षित।