SudoWP Adminer（安全分支）

贡献者： SudoWP、WP Republic
原作者： Frank Bültge、Inpsyde
标签： adminer、database、security、cve-2021-21311、ssrf-patch
最低要求版本： 5.8
最高测试版本： 6.7
稳定版： 1.5.0
许可证： GPLv2 或更高版本

安全公告（CVE-2021-21311）

这是“Adminer”WordPress 插件的一个安全加固分支。

威胁： 标准 Adminer 安装通常允许服务器端请求伪造（SSRF）。攻击者可以利用登录表单强制服务器连接到内部服务（例如 AWS Metadata、内部 API），从而导致信息泄露。

解决方案： SudoWP Adminer 强制执行**“仅限本地主机”**策略。它将连接硬编码为 wp-config.php 中定义的 WordPress 数据库，从而完全消除 SSRF 攻击向量。

重要安全提示： 本插件使用 Adminer 核心版本 4.2.4（2015 年）。虽然 CVE-2021-21311 已被修补，但较旧的核心可能仍存在其他已知漏洞。仅限管理员、仅限本地主机的安全模型可显著降低风险。详见 SECURITY.md。

推荐用途：

• 开发与预发布环境
• 受信任的私有 WordPress 安装
• 在生产环境中请谨慎使用

---

描述

SudoWP Adminer 提供了一个强大的数据库管理界面（类似 phpMyAdmin），并针对 WordPress 环境进行了专门的安全加固。

安全加固特性

1. SSRF 防护：

   • “服务器”、“用户名”和“密码”字段已被移除。
   • 连接被严格限制为仅使用本地的 DB_HOST、DB_USER 和 DB_PASSWORD。

2. 访问控制：

   • 仅限管理员： 该工具在加载前会严格检查 current_user_can('manage_options')。
   • 阻止直接访问： 尝试通过浏览器直接访问 .php 文件将返回 403 Forbidden 错误。

3. 自动登录：

   • 身份验证通过 WordPress 会话处理。如果您已登录 WP 管理后台，则已登录数据库。

安装

1. 下载仓库。
2. 重要提示： 停用并删除任何现有的 Adminer 插件。
3. 将 sudowp-adminer 文件夹上传到您的 /wp-content/plugins/ 目录。
4. 激活插件。
5. 通过 SudoWP Adminer 菜单项访问。

更新日志

版本 1.5.0（SudoWP 版）

• 安全修复： 修补了严重的 SSRF 漏洞（CVE-2021-21311）。
• 安全修复： 实施了“零信任”访问控制（仅限管理员）。
• 用户体验： 增加了无缝自动登录。
• 品牌重塑： 分支为 SudoWP Adminer。

---

由 SudoWP 安全项目维护。