SudoWP DropZone для Elementor

Участники: SudoWP, WP Republic
Исходные авторы: WEB-SHOP-HOSTING
Теги: elementor, dropzone, upload, security-patch, fork, cve-2024-5153, honeypot
Требуется как минимум: 5.6
Протестировано до: 6.7
Стабильная версия: 1.7.17
Лицензия: GPLv2 или более поздняя

Уведомление о безопасности

Это форк, поддерживаемый сообществом, заброшенного плагина "Startklar Elementor Addons" (версия 1.7.15). Исходный плагин устарел и содержит неисправленные уязвимости безопасности.

Эта версия исправляет уязвимости CVE-2024-5153 (обход каталогов) и произвольную загрузку файлов, реализуя строгую санитацию, применяя списки разрешённых типов файлов и ужесточая серверные разрешения.

---

Описание

SudoWP DropZone для Elementor восстанавливает функциональность "DropZone" и "Код страны" для форм Elementor Pro, но с применением патчей безопасности корпоративного уровня. Он предназначен для пользователей, которым нужны эти конкретные виджеты, но которые не могут рисковать из-за уязвимостей безопасности, присутствующих в исходном заброшенном плагине.

Ключевые особенности:

• Исправление безопасности: Исправляет критические уязвимости обхода каталогов и удалённого выполнения кода (RCE), обнаруженные в оригинальной версии.
• Поле DropZone: Поддержка перетаскивания и загрузки нескольких файлов для форм Elementor.
• Выбор кода страны: Автоматическая геолокация на основе IP и отображение флага страны для полей телефона.
• Расширенная ловушка Honeypot: Улучшенная защита от спама, скрытая от легитимных пользователей, но видимая для ботов.
• Переименование: Использует соглашение об именах sudowp- для предотвращения конфликтов или случайной перезаписи из заброшенного источника.

Установка

1. Загрузите zip-файл плагина (или клонируйте этот репозиторий).
2. Важно: Деактивируйте и удалите оригинальный плагин "Startklar Elementor Addons", если он установлен (чтобы избежать конфликтов классов).
3. Загрузите папку sudowp-dropzone-elementor в каталог /wp-content/plugins/.
4. Активируйте плагин через меню 'Плагины' в WordPress.
5. Убедитесь, что Elementor и Elementor Pro установлены и активны.

Часто задаваемые вопросы

Совместим ли он с оригинальным плагином Startklar?
Нет. Это самостоятельный форк. Вы должны деактивировать и удалить оригинальный "Startklar Elementor Addons", чтобы использовать эту версию, поскольку они имеют похожие имена классов, но разную структуру файлов и логику безопасности.

Почему стоит использовать это вместо официального плагина?
Официальный плагин заброшен и содержит известные уязвимости безопасности, которые позволяют злоумышленникам загружать исполняемые файлы (PHP) или манипулировать серверными каталогами. Этот форк исправляет эти проблемы, сохраняя функциональность.

Поддерживает ли он загрузку PHP-файлов?
Нет. По соображениям безопасности этот форк строго запрещает расширения PHP, EXE и других исполняемых файлов, независимо от ваших настроек Elementor или WordPress.

Журнал изменений

Версия 1.7.17 (SudoWP Security Hardened Edition)

• Улучшение безопасности: Добавлена защита от CSRF с проверкой nonce во всех обработчиках AJAX.
• Улучшение безопасности: Добавлена отсутствующая регистрация обработчика AJAX для выбора страны.
• Исправление безопасности: Исправлена уязвимость SSRF путём удаления внешних HTTP-запросов.
• Улучшение безопасности: Расширен список запрещённых расширений файлов (добавлены PHP8, JSP, ASP, SVG и др.).
• Улучшение безопасности: Добавлена проверка двойного расширения для предотвращения атак подмены файлов.
• Улучшение безопасности: Добавлена проверка размера файла на соответствие ограничениям WordPress.
• Улучшение безопасности: Улучшена проверка путей для предотвращения обхода каталогов.
• Улучшение безопасности: Добавлена защита от XSS с правильным экранированием вывода.
• Улучшение безопасности: Добавлена проверка nonce на странице настроек администратора.
• Документация: Добавлен всесторонний отчёт об аудите безопасности (SECURITY_AUDIT.md).

Версия 1.7.16 (SudoWP Edition)

• Исправление безопасности: Исправлена критическая уязвимость обхода каталогов (CVE-2024-5153) в dropzone_form_field.php.
• Исправление безопасности: Исправлена уязвимость произвольной загрузки файлов. Добавлен строгий серверный список запрета расширений PHP/Executable.
• Ужесточение: Изменены права доступа к временной папке загрузок с 0777 (доступно всем) на 0755.
• Обслуживание: Выполнен рефакторинг кодовой базы для использования соглашения об именах sudowp-.
• Обслуживание: Обновлён URI автора и брендинг для отражения поддержки SudoWP.