SudoWP Adminer (Fork de Segurança)

Contribuidores: SudoWP, WP Republic
Autores Originais: Frank Bültge, Inpsyde
Tags: adminer, database, security, cve-2021-21311, ssrf-patch
Requer pelo menos: 5.8
Testado até: 6.7
Tag estável: 1.5.0
Licença: GPLv2 ou posterior

Aviso de Segurança (CVE-2021-21311)

Este é um fork endurecido para segurança do plugin "Adminer" para WordPress.

A Ameaça: Instalações padrão do Adminer frequentemente permitem Falsificação de Solicitação do Lado do Servidor (SSRF). Atacantes podem usar o formulário de login para forçar o servidor a conectar a serviços internos (ex.: AWS Metadata, APIs internas), levando à divulgação de informações.

A Solução: O SudoWP Adminer impõe uma política "Apenas Localhost". Ele codifica a conexão ao banco de dados do WordPress definido em wp-config.php, mitigando completamente o vetor SSRF.

** Aviso de Segurança Importante:** Este plugin usa o núcleo Adminer versão 4.2.4 (2015). Embora a CVE-2021-21311 seja corrigida, o núcleo mais antigo pode ter outras vulnerabilidades conhecidas. O modelo de segurança apenas-admin, apenas-localhost reduz significativamente o risco. Consulte SECURITY.md para detalhes.

Uso Recomendado:

• Ambientes de desenvolvimento e preparação
• Instalações WordPress confiáveis e privadas
• Use com cautela em ambientes de produção

---

Descrição

SudoWP Adminer fornece uma interface poderosa de gerenciamento de banco de dados (semelhante ao phpMyAdmin), mas protegida especificamente para ambientes WordPress.

Recursos de Endurecimento de Segurança

1. Prevenção de SSRF:

   • Os campos "Servidor", "Usuário" e "Senha" são removidos.
   • A conexão é estritamente limitada ao DB_HOST, DB_USER e DB_PASSWORD locais.

2. Controle de Acesso:

   • Apenas Admins: A ferramenta verifica estritamente current_user_can('manage_options') antes de carregar.
   • Bloqueio de Acesso Direto: Tentar acessar os arquivos .php diretamente pelo navegador retorna um erro 403 Proibido.

3. Login Automático:

   • A autenticação é tratada pela sessão WordPress. Se você estiver logado no WP Admin, estará logado no banco de dados.

Instalação

1. Baixe o repositório.
2. Importante: Desative e exclua quaisquer plugins Adminer existentes.
3. Faça upload da pasta sudowp-adminer para o diretório /wp-content/plugins/.
4. Ative o plugin.
5. Acesse pelo item de menu SudoWP Adminer.

Registro de Alterações

Versão 1.5.0 (Edição SudoWP)

• Correção de Segurança: Corrigiu Vulnerabilidade Crítica de SSRF (CVE-2021-21311).
• Correção de Segurança: Implementou controle de acesso "Confiança Zero" (Apenas Admins).
• UX: Adicionou login automático contínuo.
• Remarcação: Forkado como SudoWP Adminer.

---

Mantido pelo Projeto de Segurança SudoWP.