SudoWP DropZone for Elementor

贡献者: SudoWP, WP Republic
原作者: WEB-SHOP-HOSTING
标签: elementor, dropzone, upload, 安全补丁, fork, cve-2024-5153, honeypot
最低要求: 5.6
测试至: 6.7
稳定版本: 1.7.17
许可证: GPLv2 或更高版本

安全声明

这是已废弃的 "Startklar Elementor Addons" 插件（v1.7.15）的社区维护分支。原插件已被弃用，且包含未修复的安全漏洞。

此版本修补了 CVE-2024-5153（目录遍历）及任意文件上传漏洞，通过实施严格的输入清理、强制执行文件类型白名单以及强化服务器端权限。

描述

SudoWP DropZone for Elementor 恢复了 Elementor Pro 表单中的 "DropZone" 和 "Country Code" 功能，但对其实施了企业级安全补丁。它专为需要这些特定小部件但无法承受原废弃插件安全缺陷的用户设计。

主要特性：

安全修补： 修复了原厂商版本中发现的严重目录遍历和远程代码执行（RCE）缺陷。
DropZone字段： 为Elementor表单提供拖放式多文件上传支持。
国家代码选择器： 基于IP的自动地理定位以及电话号码字段的国家旗帜显示。
高级蜜罐： 隐藏于合法用户但暴露于爬虫的增强型垃圾邮件防护。
品牌重命名： 采用 sudowp- 命名约定，防止与废弃源插件冲突或被意外覆盖。

安装

下载插件zip文件（或克隆此仓库）。
重要： 如果已安装原 "Startklar Elementor Addons" 插件，请先停用并删除（以避免类名冲突）。
将 sudowp-dropzone-elementor 文件夹上传到你的 /wp-content/plugins/ 目录。
在WordPress的"插件"菜单中激活该插件。
确保已安装并激活 Elementor 和 Elementor Pro。

常见问题

此插件与原Startklar插件兼容吗？ 不兼容。这是一个独立分支。使用此版本前必须停用并删除原 "Startklar Elementor Addons" 插件，因为它们共享相似的类名但文件结构和安全逻辑不同。

为何使用此版本而非官方插件？ 官方插件已被弃用，且包含已知的安全漏洞，允许攻击者上传可执行文件（PHP）或操作服务器目录。此分支修复了这些问题，同时保持功能完整。

它支持PHP文件上传吗？ 不支持。出于安全原因，此分支严格禁止PHP、EXE及其他可执行文件扩展名，无论你的Elementor或WordPress设置如何。

更新日志

版本 1.7.17 (SudoWP 安全强化版)

安全增强： 在所有AJAX处理器中添加了带有nonce验证的CSRF保护。
安全增强： 为国家选择器添加了缺失的AJAX处理器注册。
安全修复： 通过移除外部HTTP请求修复了SSRF漏洞。
安全增强： 扩展了禁止的文件扩展名列表（新增PHP8、JSP、ASP、SVG等）。
安全增强： 添加了双扩展名验证以防止文件欺骗攻击。
安全增强： 根据WordPress限制添加了文件大小验证。
安全增强： 增强了路径验证以防止目录遍历。
安全增强： 为整个程序添加了XSS防护，进行了适当的输出转义。
安全增强： 在管理员设置页面添加了nonce验证。
文档： 添加了全面的安全审计报告（SECURITY_AUDIT.md）。

版本 1.7.16 (SudoWP 版)

安全修复： 修补了 dropzone_form_field.php 中的严重目录遍历漏洞（CVE-2024-5153）。
安全修复： 修补了任意文件上传漏洞。为PHP/可执行扩展名添加了严格的服务器端拒绝列表。
加固： 将临时上传文件夹权限从 0777（全局可写）更改为 0755。
维护： 重构代码库，使用 sudowp- 命名约定。
维护： 更新了作者URI和品牌信息以反映SudoWP维护。

sudowp-dropzone-elementor

最受欢迎