SudoWP Adminer (Безопасный форк)

Авторы: SudoWP, WP Republic
Оригинальные авторы: Frank Bültge, Inpsyde
Теги: adminer, database, security, cve-2021-21311, ssrf-patch
Требует как минимум: 5.8
Протестировано до: 6.7
Стабильная версия: 1.5.0
Лицензия: GPLv2 или более поздняя

Уведомление о безопасности (CVE-2021-21311)

Это усиленный форк плагина "Adminer" для WordPress.

Угроза: Стандартные установки Adminer часто допускают Server-Side Request Forgery (SSRF). Злоумышленники могут использовать форму входа, чтобы заставить сервер подключаться к внутренним сервисам (например, метаданные AWS, внутренние API), что приводит к раскрытию информации.

Решение: SudoWP Adminer применяет политику "Только локальный хост". Он жестко привязывает подключение к базе данных WordPress, заданной в wp-config.php, полностью устраняя вектор SSRF.

** Важное уведомление о безопасности:** Этот плагин использует ядро Adminer версии 4.2.4 (2015). Хотя CVE-2021-21311 исправлен, более старая версия может содержать другие известные уязвимости. Модель безопасности, разрешающая доступ только администраторам и только к локальному хосту, значительно снижает риск. Подробнее см. в SECURITY.md.

Рекомендации по использованию:

• Среды разработки и стейджинга
• Доверенные, частные установки WordPress
• Использовать с осторожностью в рабочих средах

---

Описание

SudoWP Adminer предоставляет мощный интерфейс управления базами данных (похожий на phpMyAdmin), но специально защищённый для сред WordPress.

Функции усиления безопасности

1. Предотвращение SSRF:

   • Поля "Сервер", "Имя пользователя" и "Пароль" удалены.
   • Подключение строго ограничено локальными DB_HOST, DB_USER и DB_PASSWORD.

2. Контроль доступа:

   • Только администраторы: Инструмент строго проверяет current_user_can('manage_options') перед загрузкой.
   • Блокировка прямого доступа: Попытка обратиться к .php файлам напрямую через браузер возвращает ошибку 403 Forbidden.

3. Автоматический вход:

   • Аутентификация производится через сессию WordPress. Если вы вошли в панель администратора WP, вы автоматически входите в базу данных.

Установка

1. Скачайте репозиторий.
2. Важно: Отключите и удалите все существующие плагины Adminer.
3. Загрузите папку sudowp-adminer в каталог /wp-content/plugins/.
4. Активируйте плагин.
5. Доступ через пункт меню SudoWP Adminer.

Журнал изменений

Версия 1.5.0 (Редакция SudoWP)

• Исправление безопасности: Заплатка критической уязвимости SSRF (CVE-2021-21311).
• Исправление безопасности: Реализован контроль доступа "Нулевого доверия" (только для администраторов).
• UX: Добавлен бесшовный автоматический вход.
• Ребрендинг: Форк переименован в SudoWP Adminer.

---

Поддерживается проектом SudoWP Security.