SudoWP PostGallery (보안 포크)

기여자: SudoWP, WP Republic
원저자: RTO GmbH
태그: 갤러리, 보안, 패치됨, cve-2025-13543
최소 요구 버전: 5.8
테스트 완료 버전: 6.7
안정 버전: 1.12.6
라이선스: GPLv2 이상

보안 공지

이 플러그인은 중단된 "PostGallery" 플러그인의 보안 강화 포크입니다. 원본 플러그인은 심각한 보안 취약점으로 인해 2025년 12월 2일 WordPress.org에서 폐쇄되었습니다.

원본 플러그인 링크: https://wordpress.org/plugins/postgallery/

---

설명

SudoWP PostGallery는 널리 사용되던 PostGallery 플러그인의 기능을 복원하는 동시에, 사이트를 해킹에 취약하게 만들었던 치명적인 보안 결함을 수정합니다.

적용된 보안 패치

완전한 코드 감사를 수행했으며 다음과 같은 수정 사항을 적용했습니다:

1. 임의 파일 업로드 수정 (CVE-2025-13543):

   • 기존 업로더는 거의 모든 파일 유형을 허용했습니다. jpg, jpeg, png, gif, webp 만 허용하는 엄격한 허용 목록을 구현했습니다.
   • 확장자 위장(예: .php 파일을 .jpg로 이름을 바꿔 업로드)을 방지하기 위해 finfo_file을 사용한 MIME 유형 검증을 추가했습니다.

2. 접근 제어 강화:

   • 게스트 접근 제거: 원본 코드는 인증되지 않은 사용자(nopriv 훅)가 업로드 핸들러에 접근하는 것을 허용했습니다. 해당 훅은 제거되었습니다.
   • 권한 검사: 모든 민감한 AJAX 작업(delete, rename, rotate, save_meta)에 current_user_can('upload_files')을 추가했습니다.

3. 입력 값 정화:

   • 모든 파일 입력에 WordPress 기본 제공 sanitize_file_name()을 적용했습니다.

설치

1. 저장소를 다운로드합니다.
2. 중요: 원본 "PostGallery" 플러그인이 설치되어 있다면 비활성화하고 삭제하세요.
3. sudowp-postgallery 폴더를 /wp-content/plugins/ 디렉터리에 업로드합니다.
4. 플러그인을 활성화합니다.

변경 내역

버전 1.12.6 (SudoWP 에디션)

• 보안 수정: 치명적인 임의 파일 업로드 취약점을 패치했습니다.
• 보안 수정: 업로드 기능을 인증된 관리자로만 제한했습니다.
• 보안 수정: 엄격한 파일 유형 검증 엔진을 구현했습니다.
• 브랜드 변경: SudoWP PostGallery로 포크되었습니다.

---

SudoWP 보안 프로젝트가 유지 관리합니다.