Recencio Book Reviews

Um plugin WordPress para gerenciar e exibir resenhas de livros. Tipo de post personalizado, 7 taxonomias, 13 shortcodes, 7 widgets, 6 modelos, 5 extensões. Todos os dados armazenados em metadados padrão do WordPress — sem tabelas personalizadas.

Histórico

O Recencio Book Reviews foi criado por Kemory Grubb (w33zy) e publicado no diretório de plugins do WordPress. Kemory faleceu em 2024. O plugin foi deixado sem manutenção com uma vulnerabilidade conhecida de XSS armazenado (CVE-2024-33648) e nenhum caminho para uma correção.

Em 2026, Tom Stayte adotou o plugin. O código original foi bifurcado do repositório GitLab de Kemory, o CVE foi corrigido e uma auditoria de segurança completa foi realizada antes da implantação em produção.

Este repositório é a continuação desse trabalho. O plugin será reenviado ao diretório de plugins do WordPress sob nova manutenção.

Segurança

O plugin passou por uma reforma de segurança abrangente nas versões 1.67.0 a 1.70.0:

• CVE-2024-33648 — XSS armazenado autenticado (Contribuidor+). Corrigido na versão 1.67.0.
• 57 vulnerabilidades adicionais identificadas e corrigidas em 5 rodadas de auditoria independentes cobrindo aproximadamente 90 arquivos PHP.

A metodologia de auditoria:

1. Auditoria 1 — Auditoria inicial de toda a base de código. 49 problemas encontrados e corrigidos (verificação de nonce, $wpdb->prepare(), sanitização de entrada, escape de saída). A verificação pós-correção confirmou que todos os 49 foram resolvidos.
2. Auditoria 2 — Segunda passagem independente. 4 problemas adicionais encontrados e corrigidos. Verificado pós-correção.
3. Auditoria 3 — Terceira passagem independente. 4 problemas adicionais encontrados e corrigidos. Verificado pós-correção.
4. Auditoria 4 — Quarta passagem independente. 1 XSS armazenado adicional encontrado e corrigido em atributos de estilo de link de compra. Verificado pós-correção.
5. Auditoria 5 — Revisão final em ambiente controlado (sem acesso ao contexto da auditoria anterior). Zero descobertas com limite de confiança >= 0,8.

Todas as descobertas estão documentadas no diretório audit/.

Validado por Patchstack.

Todas as correções preservam a compatibilidade com versões anteriores. Instalações existentes podem atualizar a partir da versão 1.66.0 sem perda de dados.

Contribuindo

Relate bugs ou sugira recursos através de issues no GitHub.

Pull requests são bem-vindos. A base de código segue os padrões de codificação PHP do WordPress.

Licença

GPL-2.0 ou superior. Veja LICENSE.txt.

Copyright 2014-2024 Kemory Grubb Copyright 2026 Tom Stayte