SudoWP Hooks Visualizer

Contributors: SudoWP, WP Republic
Original Authors: Stuart O'Brien, cxThemes
Tags: hooks, actions, filters, developer-tool, debug, security-fork, cve-2024-6297
Requires at least: 5.8
Tested up to: 6.7
Stable tag: 1.3.2
License: GPLv2 or later

セキュリティ通知 (CVE-2024-6297)

これは、放棄された「Simply Show Hooks」プラグインのセキュリティ強化版フォークです。元のプラグインはサプライチェーン攻撃 (CVE-2024-6297) によって侵害され、WordPressによって永久に閉鎖されました。

この SudoWP 版は以下の特徴を持ちます：

1. クリーン: CVE-2024-6297 のバックドアがないことが保証されています。
2. パッチ適用済み: 可視化出力で見つかったレガシーなクロスサイトスクリプティング (XSS) 脆弱性を修正しています。
3. CSRF 対策済み: すべての状態変更は WordPress nonce で保護されています。
4. OWASP 準拠: OWASP Top 10 のセキュリティベストプラクティスに従っています。

詳細なセキュリティ情報については、SECURITY.md を参照してください。

---

説明

SudoWP Hooks Visualizer は、WordPress の任意のページでアクションフックとフィルターフックがどこで起動しているかを確認できる開発者ツールです。これは、古典的な「Simply Show Hooks」のセキュアでモダンなバージョンです。

主な機能:

• 視覚的なフックマップ: フックがトリガーされる場所に直接ページ上に表示します。
• 詳細な検査: アタッチされた関数、その優先順位、受け入れられた引数を確認できます。
• セキュリティ強化: 入力検証により、レガシーデバッグツールに見られた XSS ベクターを防止します。
• ワンクリック切り替え: 管理バーからグローバルに有効/無効を切り替えられます。

インストール

1. プラグインの zip ファイルをダウンロードするか、このリポジトリをクローンします。
2. 重要: 元の「Simply Show Hooks」プラグインがインストールされている場合は、無効化して削除してください。
3. sudowp-hooks-visualizer フォルダを /wp-content/plugins/ ディレクトリにアップロードします。
4. WordPress の「プラグイン」メニューからプラグインを有効化します。
5. 管理バーに 「SudoWP Hooks」 メニューが表示されていることを確認します。

よくある質問

なぜフォークしたのですか？ 元のツールは非常に便利でしたが、放棄され、後に侵害されました。私たちはデバッグにこれを依存しているため、パッチを適用して、安全で新しい PHP バージョンと互換性があるようにしました。

アクティブにしておいても安全ですか？ セキュリティは強化していますが、これは主にデバッグツールです。サイトを積極的に開発またはトラブルシューティングしているときだけ有効にし、それ以外は無効にしておくことをお勧めします。

変更履歴

バージョン 1.3.2 (2026年2月)

• セキュリティ修正: すべての状態変更に WordPress nonce による CSRF 保護を追加しました。
• セキュリティ修正: 認可チェックを強化 - すべてのレンダリングメソッドで manage_options 権限を確認するようになりました。
• セキュリティ修正: フック名と引数に厳密な型チェックを導入して入力検証を改善しました。
• セキュリティ修正: MIME タイプのスニッフィングを防ぐため、X-Content-Type-Options セキュリティヘッダーを追加しました。
• セキュリティ修正: COOKIE_DOMAIN が未定義の環境をサポートするように処理を修正しました。
• セキュリティ強化: ファイルへの直接アクセス防止を改善しました。
• ドキュメント: OWASP フレームワークに従った包括的な SECURITY.md を追加しました。

バージョン 1.3.0 (SudoWP 版)

• セキュリティ修正: CVE-2024-6297 (サプライチェーン攻撃) からのクリーン性を保証。
• セキュリティ修正: すべてのユーザー入力 ($_GET、$_COOKIE) に厳格なサニタイズを実装し、XSS を防止。
• セキュリティ修正: セキュアフラグ付きでクッキー設定を強化。
• メンテナンス: コードベースをリファクタリングし、SudoWP_ 名前空間を使用して競合を防止。
• ブランド変更: SudoWP Hooks Visualizer としてフォーク。

---

SudoWP セキュリティプロジェクトによってメンテナンスされています。