SudoWP Adminer (Fork di Sicurezza)

Contributori: SudoWP, WP Republic
Autori Originali: Frank Bültge, Inpsyde
Tag: adminer, database, sicurezza, cve-2021-21311, ssrf-patch
Richiede almeno: 5.8
Testato fino a: 6.7
Tag stabile: 1.5.0
Licenza: GPLv2 o successiva

Avviso di Sicurezza (CVE-2021-21311)

Questo è un fork rinforzato per la sicurezza del plugin WordPress "Adminer".

La Minaccia: Le installazioni standard di Adminer spesso permettono Server-Side Request Forgery (SSRF). Gli attaccanti possono usare il modulo di accesso per costringere il server a connettersi a servizi interni (es. Metadati AWS, API interne), portando alla divulgazione di informazioni.

La Soluzione: SudoWP Adminer impone una politica "Solo Localhost". Codifica fissa la connessione al database WordPress definito in wp-config.php, mitigando completamente il vettore SSRF.

** Avviso di Sicurezza Importante:** Questo plugin utilizza la versione del core di Adminer 4.2.4 (2015). Sebbene CVE-2021-21311 sia stato corretto, il core più vecchio potrebbe avere altre vulnerabilità note. Il modello di sicurezza solo-admin, solo-localhost riduce significativamente il rischio. Vedi SECURITY.md per i dettagli.

Uso Raccomandato:

• Ambienti di sviluppo e staging
• Installazioni WordPress fidate e private
• Usare con cautela in ambienti di produzione

---

Descrizione

SudoWP Adminer fornisce un potente interfaccia di gestione del database (simile a phpMyAdmin) ma resa sicura specificamente per ambienti WordPress.

Funzionalità di Rafforzamento della Sicurezza

1. Prevenzione SSRF:

   • I campi "Server", "Username" e "Password" sono rimossi.
   • La connessione è strettamente limitata a DB_HOST, DB_USER e DB_PASSWORD locali.

2. Controllo degli Accessi:

   • Solo Amministratori: Lo strumento verifica rigorosamente current_user_can('manage_options') prima del caricamento.
   • Blocco Accesso Diretto: Tentare di accedere ai file .php direttamente tramite browser restituisce un errore 403 Forbidden.

3. Accesso Automatico:

   • L'autenticazione è gestita tramite la sessione WordPress. Se hai effettuato l'accesso a WP Admin, hai accesso al database.

Installazione

1. Scarica il repository.
2. Importante: Disattiva ed elimina qualsiasi plugin Adminer esistente.
3. Carica la cartella sudowp-adminer nella tua directory /wp-content/plugins/.
4. Attiva il plugin.
5. Accedi tramite la voce di menu SudoWP Adminer.

Registro delle Modifiche

Versione 1.5.0 (Edizione SudoWP)

• Fix di Sicurezza: Corretta Vulnerabilità Critica SSRF (CVE-2021-21311).
• Fix di Sicurezza: Implementato controllo accessi "Zero Trust" (Solo Amministratori).
• UX: Aggiunto accesso automatico senza interruzioni.
• Rebrand: Forkato come SudoWP Adminer.

---

Mantenuto dal SudoWP Security Project.