SudoWP Adminer（セキュリティフォーク）

貢献者: SudoWP, WP Republic
原作者: Frank Bültge, Inpsyde
タグ: adminer, データベース, セキュリティ, cve-2021-21311, ssrf-patch
必要最低バージョン: 5.8
テスト済みバージョン: 6.7
安定版タグ: 1.5.0
ライセンス: GPLv2 またはそれ以降

セキュリティ通知 (CVE-2021-21311)

これは、WordPressプラグイン「Adminer」のセキュリティ強化版フォークです。

脅威: 標準のAdminerインストールでは、多くの場合、**サーバーサイドリクエストフォージェリ（SSRF）**が許可されています。攻撃者はログインフォームを使用してサーバーに内部サービス（例：AWSメタデータ、内部API）への接続を強制し、情報漏洩につながる可能性があります。

解決策: SudoWP Adminerは**「localhostのみ」**ポリシーを強制します。wp-config.phpで定義されたWordPressデータベースへの接続をハードコードし、SSRFベクトルを完全に緩和します。

** 重要なセキュリティ通知:** このプラグインはAdminerコアバージョン4.2.4（2015年）を使用しています。CVE-2021-21311はパッチされていますが、古いコアには他の既知の脆弱性が存在する可能性があります。管理者専用、localhost専用のセキュリティモデルにより、リスクが大幅に軽減されます。詳細についてはSECURITY.mdを参照してください。

推奨される使用法:

• 開発環境およびステージング環境
• 信頼できるプライベートなWordPressインストール
• 本番環境では注意して使用

---

説明

SudoWP Adminerは、強力なデータベース管理インターフェース（phpMyAdminに類似）を提供しますが、WordPress環境向けに特別にセキュリティ保護されています。

セキュリティ強化機能

1. SSRF防止:

   • 「サーバー」「ユーザー名」「パスワード」フィールドが削除されています。
   • 接続はローカルのDB_HOST、DB_USER、DB_PASSWORDに厳密に制限されています。

2. アクセス制御:

   • 管理者のみ: ツールは読み込み前にcurrent_user_can('manage_options')を厳密にチェックします。
   • 直接アクセスブロック: ブラウザから.phpファイルに直接アクセスしようとすると、403 Forbiddenエラーが返されます。

3. 自動ログイン:

   • 認証はWordPressセッションを介して処理されます。WP管理画面にログインしていれば、データベースにもログインしています。

インストール

1. リポジトリをダウンロードします。
2. 重要: 既存のAdminerプラグインを無効化して削除してください。
3. sudowp-adminerフォルダを/wp-content/plugins/ディレクトリにアップロードします。
4. プラグインを有効化します。
5. SudoWP Adminerメニュー項目からアクセスします。

変更履歴

バージョン 1.5.0 (SudoWP Edition)

• セキュリティ修正: 重大なSSRF脆弱性（CVE-2021-21311）にパッチを適用。
• セキュリティ修正: 「ゼロトラスト」アクセス制御（管理者のみ）を実装。
• UX: シームレスな自動ログインを追加。
• リブランド: SudoWP Adminerとしてフォーク。

---

SudoWPセキュリティプロジェクトによってメンテナンスされています。