Recencio Book Reviews

Un plugin WordPress per gestire e visualizzare recensioni di libri. Tipo di contenuto personalizzato, 7 tassonomie, 13 shortcode, 7 widget, 6 template, 5 estensioni. Tutti i dati sono memorizzati nei post meta standard di WordPress — nessuna tabella personalizzata.

Background

Recencio Book Reviews è stato creato da Kemory Grubb (w33zy) e pubblicato nella directory dei plugin di WordPress. Kemory è scomparso nel 2024. Il plugin è rimasto senza manutenzione, con una vulnerabilità XSS persistente nota (CVE-2024-33648) e nessuna via per una correzione.

Nel 2026, Tom Stayte ha preso in carico il plugin. Il codice sorgente originale è stato forkato dal repository GitLab di Kemory, la CVE è stata corretta ed è stato condotto un audit di sicurezza completo prima della distribuzione in produzione.

Questo repository è la continuazione di quel lavoro. Il plugin verrà ripresentato nella directory dei plugin di WordPress sotto una nuova gestione.

Sicurezza

Il plugin ha subito una revisione completa della sicurezza tra le versioni 1.67.0 e 1.70.0:

• CVE-2024-33648 — XSS persistente autenticato (Contributor+). Corretto nella 1.67.0.
• 57 ulteriori vulnerabilità identificate e corrette in 5 cicli di audit indipendenti che coprono circa 90 file PHP.

La metodologia di audit:

1. Audit 1 — Audit iniziale dell'intera base di codice. Trovati e corretti 49 problemi (verifica nonce, $wpdb->prepare(), sanificazione degli input, escaping dell'output). La verifica post-patch ha confermato che tutti i 49 sono stati risolti.
2. Audit 2 — Seconda passata indipendente. Trovati e corretti 4 problemi aggiuntivi. Verificato post-patch.
3. Audit 3 — Terza passata indipendente. Trovati e corretti 4 problemi aggiuntivi. Verificato post-patch.
4. Audit 4 — Quarta passata indipendente. Trovato e corretto 1 ulteriore XSS persistente negli attributi di stile del link di acquisto. Verificato post-patch.
5. Audit 5 — Revisione finale in clean-room (nessun accesso al contesto degli audit precedenti). Zero risultati con soglia di confidenza >= 0.8.

Tutti i risultati sono documentati nella directory audit/.

Validato da Patchstack.

Tutte le correzioni preservano la retrocompatibilità. Le installazioni esistenti possono aggiornare dalla 1.66.0 senza perdita di dati.

Contribuire

Segnala bug o suggerisci funzionalità tramite GitHub issues.

Le pull request sono benvenute. La base di codice segue gli standard di codifica PHP di WordPress.

Licenza

GPL-2.0-or-later. Vedi LICENSE.txt.

Copyright 2014-2024 Kemory Grubb Copyright 2026 Tom Stayte