SudoWP PostGallery (セキュリティフォーク)

コントリビューター: SudoWP, WP Republic
原作者: RTO GmbH
タグ: ギャラリー, セキュリティ, パッチ適用済み, cve-2025-13543
最低要件: 5.8
テスト済み: 6.7
安定版タグ: 1.12.6
ライセンス: GPLv2 以降

セキュリティに関するお知らせ

これは、放棄された「PostGallery」プラグインのセキュリティ強化版フォークです。元のプラグインは、深刻なセキュリティ脆弱性のため、2025年12月2日にWordPress.orgでクローズされました。

元のプラグインリンク: https://wordpress.org/plugins/postgallery/

---

説明

SudoWP PostGallery は、人気のPostGalleryプラグインの機能を復元すると同時に、サイトをハッキングに対して脆弱にしていた重大なセキュリティ上の欠陥を修正します。

実装されたセキュリティパッチ

完全なコード監査を実施し、以下の修正を適用しました。

1. 任意ファイルアップロードの修正 (CVE-2025-13543):

   • 元のアップローダーはほとんどすべてのファイルタイプを受け入れていました。jpg、jpeg、png、gif、webp のみを許可する厳格な許可リストを実装しました。
   • finfo_file を使用した MIMEタイプ検証 を追加し、拡張子のなりすまし（例：.php ファイルを .jpg にリネームしてアップロードするなど）を防止します。

2. アクセス制御の強化:

   • ゲストアクセスを削除: 元のコードでは、認証されていないユーザー（nopriv フック）がアップロードハンドラーにアクセスできました。これらのフックは削除されました。
   • 権限チェック: すべての重要なAJAXアクション（delete、rename、rotate、save_meta）に current_user_can('upload_files') を追加しました。

3. 入力のサニタイズ:

   • すべてのファイル入力にWordPressネイティブの sanitize_file_name() を適用しました。

インストール

1. リポジトリをダウンロードします。
2. 重要: 元の「PostGallery」プラグインがインストールされている場合は、無効化して削除してください。
3. sudowp-postgallery フォルダを /wp-content/plugins/ ディレクトリにアップロードします。
4. プラグインを有効化します。

変更履歴

バージョン 1.12.6 (SudoWP エディション)

• セキュリティ修正: 重大な任意ファイルアップロードの脆弱性にパッチを適用。
• セキュリティ修正: アップロード機能を認証された管理者のみに制限。
• セキュリティ修正: 厳格なファイルタイプ検証エンジンを実装。
• ブランド変更: SudoWP PostGallery としてフォーク。

---

SudoWP セキュリティプロジェクトによって維持されています。