Recencio: обзоры книг

Плагин WordPress для управления и отображения обзоров книг. Пользовательский тип записи, 7 таксономий, 13 шорткодов, 7 виджетов, 6 шаблонов, 5 расширений. Все данные хранятся в стандартной мета-информации записей WordPress — без пользовательских таблиц.

Предыстория

Плагин Recencio: обзоры книг был создан Kemory Grubb (w33zy) и опубликован в каталоге плагинов WordPress. Кемори ушёл из жизни в 2024 году. Плагин остался без поддержки с известной уязвимостью хранимого XSS (CVE-2024-33648) и без возможности исправления.

В 2026 году Tom Stayte взял на себя поддержку плагина. Исходный код был форкнут из репозитория Кемори на GitLab, уязвимость CVE была исправлена, а перед развёртыванием в production проведён полный аудит безопасности.

Этот репозиторий является продолжением той работы. Плагин будет повторно отправлен в каталог плагинов WordPress под новым мейнтейнерством.

Безопасность

Плагин прошёл всестороннюю модернизацию безопасности в версиях с 1.67.0 по 1.70.0:

• CVE-2024-33648 — Аутентифицированное (Contributor+) хранимое XSS. Исправлено в версии 1.67.0.
• 57 дополнительных уязвимостей выявлено и исправлено в ходе 5 независимых раундов аудита, охватывающих около 90 PHP-файлов.

Методология аудита:

1. Аудит 1 — Первоначальный аудит всей кодовой базы. Обнаружено и исправлено 49 проблем (проверка nonce, $wpdb->prepare(), очистка входных данных, экранирование выходных данных). Проверка после исправления подтвердила, что все 49 решены.
2. Аудит 2 — Второй независимый проход. Обнаружено и исправлено 4 дополнительные проблемы. Проверка после исправления подтверждена.
3. Аудит 3 — Третий независимый проход. Обнаружено и исправлено 4 дополнительные проблемы. Проверка после исправления подтверждена.
4. Аудит 4 — Четвёртый независимый проход. Обнаружен и исправлен 1 дополнительный хранимый XSS в атрибутах стиля ссылок покупки. Проверка после исправления подтверждена.
5. Аудит 5 — Чистовая финальная проверка (без доступа к контексту предыдущих аудитов). Нулевые результаты при пороге достоверности >= 0.8.

Все результаты задокументированы в каталоге audit/.

Подтверждено компанией Patchstack.

Все исправления сохраняют обратную совместимость. Существующие установки могут обновиться с версии 1.66.0 без потери данных.

Участие в разработке

Сообщайте об ошибках или предлагайте функции через GitHub issues.

Приветствуются pull request'ы. Кодовая база следует стандартам кодирования PHP для WordPress.

Лицензия

GPL-2.0-or-later. См. LICENSE.txt.

Copyright 2014-2024 Kemory Grubb Copyright 2026 Tom Stayte