SudoWP PostGallery (Безопасный форк)

Авторы: SudoWP, WP Republic
Оригинальные авторы: RTO GmbH
Теги: галерея, безопасность, исправлено, cve-2025-13543
Требуется как минимум: 5.8
Протестировано до: 6.7
Стабильная версия: 1.12.6
Лицензия: GPLv2 или более поздняя

Уведомление о безопасности

Это укреплённый с точки зрения безопасности форк заброшенного плагина "PostGallery". Оригинальный плагин был закрыт на WordPress.org 2 декабря 2025 года из-за серьёзных уязвимостей безопасности.

Ссылка на оригинальный плагин: https://wordpress.org/plugins/postgallery/

---

Описание

SudoWP PostGallery восстанавливает функциональность популярного плагина PostGallery, исправляя критические недостатки безопасности, из-за которых сайты были уязвимы для взлома.

Реализованные исправления безопасности

Мы провели полный аудит кода и применили следующие исправления:

1. Исправление произвольной загрузки файлов (CVE-2025-13543):

   • Исходный загрузчик принимал почти любые типы файлов. Мы внедрили строгий разрешённый список, который допускает только jpg, jpeg, png, gif и webp.
   • Добавлена проверка MIME-типа с помощью finfo_file для предотвращения подмены расширения (например, загрузка файла .php, переименованного в .jpg).

2. Усиление контроля доступа:

   • Удалён гостевой доступ: Исходный код разрешал неаутентифицированным пользователям (хуки nopriv) доступ к обработчику загрузки. Эти хуки были удалены.
   • Проверки прав: Добавлен current_user_can('upload_files') ко всем чувствительным AJAX-действиям (delete, rename, rotate, save_meta).

3. Санитизация ввода:

   • Принудительно используется встроенная функция WordPress sanitize_file_name() для всех файловых входов.

Установка

1. Скачайте репозиторий.
2. Важно: Деактивируйте и удалите оригинальный плагин "PostGallery", если он установлен.
3. Загрузите папку sudowp-postgallery в директорию /wp-content/plugins/.
4. Активируйте плагин.

Журнал изменений

Версия 1.12.6 (SudoWP Edition)

• Исправление безопасности: Устранена критическая уязвимость произвольной загрузки файлов.
• Исправление безопасности: Функция загрузки ограничена только аутентифицированными администраторами.
• Исправление безопасности: Реализован механизм строгой проверки типов файлов.
• Переименование: Форк выпущен под названием SudoWP PostGallery.

---

Поддерживается проектом SudoWP Security Project.