Recencio 도서 리뷰

책 리뷰를 관리하고 표시하기 위한 WordPress 플러그인입니다. 사용자 정의 포스트 유형, 7개의 분류 체계, 13개의 숏코드, 7개의 위젯, 6개의 템플릿, 5개의 확장 기능을 제공합니다. 모든 데이터는 표준 WordPress 포스트 메타에 저장됩니다 — 사용자 정의 테이블은 없습니다.

배경

Recencio Book Reviews는 Kemory Grubb(w33zy)에 의해 만들어졌으며 WordPress 플러그인 디렉토리에 게시되었습니다. Kemory는 2024년에 사망했습니다. 플러그인은 알려진 저장형 XSS 취약점(CVE-2024-33648)이 있는 상태로 유지 관리되지 않았으며 수정 경로도 없었습니다.

2026년, Tom Stayte가 플러그인을 인수했습니다. 원본 소스는 Kemory의 GitLab 저장소에서 포크되었으며, CVE가 패치되었고, 프로덕션에 배포하기 전에 전체 보안 감사가 수행되었습니다.

이 저장소는 그 작업의 연속입니다. 플러그인은 새로운 관리자 아래에서 WordPress 플러그인 디렉토리에 다시 제출될 예정입니다.

보안

플러그인은 버전 1.67.0부터 1.70.0까지 포괄적인 보안 개편을 거쳤습니다:

CVE-2024-33648 — 인증된 (기여자 이상) 저장형 XSS. 1.67.0에서 패치됨.
추가 취약점 57개가 약 90개의 PHP 파일을 대상으로 한 5번의 독립적인 감사 라운드에서 식별되고 수정되었습니다.

감사 방법론:

감사 1 — 최초 전체 코드베이스 감사. 49개의 문제(nonce 확인, $wpdb->prepare(), 입력 살균, 출력 이스케이프)를 발견하고 패치했습니다. 패치 후 확인 결과 49개 모두 해결되었습니다.
감사 2 — 두 번째 독립 검토. 추가로 4개의 문제를 발견하고 패치했습니다. 패치 후 확인 완료.
감사 3 — 세 번째 독립 검토. 추가로 4개의 문제를 발견하고 패치했습니다. 패치 후 확인 완료.
감사 4 — 네 번째 독립 검토. 구매 링크 스타일 속성에서 추가 저장형 XSS 1개를 발견하고 패치했습니다. 패치 후 확인 완료.
감사 5 — 클린룸 최종 검토(이전 감사 컨텍스트에 대한 접근 권한 없음). 신뢰 임계값 >= 0.8에서 발견 사항 0건.

모든 발견 사항은 audit/ 디렉토리에 문서화되어 있습니다.

Patchstack에 의해 검증됨.

모든 수정 사항은 하위 호환성을 유지합니다. 기존 설치에서 1.66.0에서 업그레이드해도 데이터 손실이 없습니다.

기여

버그를 보고하거나 기능을 제안하려면 GitHub 이슈를 이용해주세요.

풀 리퀘스트를 환영합니다. 코드베이스는 WordPress PHP 코딩 표준을 따릅니다.

라이선스

GPL-2.0-or-later. LICENSE.txt 파일을 참조하세요.

rcno-reviews

인기