Skip to content

v4.1.0 - Security Update

Latest
Latest

Choose a tag to compare

View all tags
@Lichiphen Lichiphen released this 30 Oct 12:58
v4.1.0
72e92af
This commit was created on GitHub.com and signed with GitHub’s verified signature.
GPG key ID: B5690EEEBB952194
Verified
Learn about vigilant mode.

🔒 v4.1.0 — Security update (2026-10-30)

This release fixes every security issue identified up to 2026-10-30 and keeps security risks low.

  • 🔒 Share auth cookies are HMAC-signed, expire and are revoked when the password changes
  • 🔒 Password attempt limits (10 / IP / share, 50 / IP, 15 min lockout); bcrypt hashing with automatic re-hash of old hashes
  • 🔒 Files stored under random .dat names in wp-content/uploads/sfs-protected/ (survives plugin updates; migrated automatically)
  • 🔒 SVG preview XSS and admin file-name XSS fixed; Tailwind CDN removed (no external scripts)
  • 🔒 Signed, time-limited download links; no-store, CSP, X-Frame-Options on share pages
  • 🐛 Downloads / previews / ZIP now work on Windows hosts; legacy shares work before an administrator opens wp-admin

Warning

Updating from v4.0.0 or earlier: overwrite the plugin files via FTP/SFTP. "Replace current with uploaded" in wp-admin deletes the old protected-uploads/ folder together with the files of existing shares. See the README for details.

Nginx users: add location ^~ /wp-content/uploads/sfs-protected/ { deny all; return 404; } to the server block.

🔒 v4.1.0 — セキュリティアップデート（2026-10-30）

2026-10-30 までに確認したセキュリティ上の問題をすべて修正し、セキュリティリスクを抑えたリリースです。

  • 🔒 共有の認証 Cookie を HMAC 署名し、有効期限とパスワード変更時の失効に対応
  • 🔒 パスワード試行回数の制限（共有ごと IP あたり10回、IP あたり50回、15分ロック）。bcrypt でハッシュ化し、旧形式は自動で再ハッシュ
  • 🔒 ファイルを wp-content/uploads/sfs-protected/ にランダムな .dat 名で保存（プラグイン更新で消えません。自動で移行）
  • 🔒 SVG プレビューと管理画面のファイル名の XSS を修正。Tailwind の CDN を廃止（外部スクリプト不使用）
  • 🔒 署名付き・期限付きのダウンロードリンク。共有ページに no-store・CSP・X-Frame-Options を付与
  • 🐛 Windows のサーバーでのダウンロード・プレビュー・ZIP の失敗を修正。管理者が管理画面を開く前でも旧共有を利用可能に

Warning

v4.0.0 以前からの更新: FTP/SFTP でプラグインのファイルを上書きしてください。管理画面の「アップロードしたもので現在のものを置き換える」を使うと、旧 protected-uploads/ フォルダごと既存の共有ファイルが削除されます。詳しくは README をご覧ください。

Nginx の場合は server ブロックに location ^~ /wp-content/uploads/sfs-protected/ { deny all; return 404; } を追加してください。

🔏 Signature / 署名

The ZIPs are signed with Lichiphen's Ed25519 key (.sig files). Save this line as allowed_signers (fingerprint SHA256:4OUsj5/foFsud4sZEnMUIDmxTMH1pqU7kH3WHa6RUp4, same key as in the README) and run:

ZIP には Lichiphen の Ed25519 鍵で署名しています（.sig ファイル）。次の1行を allowed_signers として保存し（README と同じ鍵です）、コマンドを実行してください。

lichiphen namespaces="file" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIKq1eFDvpYQFJzI27sAmOvoixNkjQ4FV+S2KkQ1x8SSA

ssh-keygen -Y verify -f allowed_signers -I lichiphen -n file -s simple-secure-file-share-v4.1.0.zip.sig < simple-secure-file-share-v4.1.0.zip

(Windows: cmd /c "...") — Good "file" signature for lichiphen = genuine / 本物です。

SHA256 Checksum:

D8EBFB1A8671F4179090B8E0D145160D5CEBCDFC18960717C30910874FE13AAA
Assets 4
Loading