v4.0.2 — Correctifs de sécurité

Correctifs de sécurité

🔴 REST save_theme_settings() — validation manquante

Les données POST étaient sauvegardées brutes sans appel à validate_theme_options(). Le chemin REST byppassait entièrement la validation existante.

🟠 Actions avancées — CSRF

Les actions destructives (delete-design, delete-all, create-template-file) étaient déclenchées via $_GET sans vérification de nonce. Ajout de check_admin_referer() côté serveur et wp_nonce_url() sur les URLs générées.

🟠 Échappement contextuel des sorties HTML

• esc_url() sur l'attribut src de l'image header
• esc_attr() sur l'attribut alt
• esc_url(get_home_url()) sur les wrappers <a href> du header
• esc_html() sur le sujet injecté via {#mailsubject#}
• wp_kses_post() sur le footer au moment du rendu

🟠 Permissions fichier

chmod 0777 → chmod 0644 sur le fichier template créé dans le répertoire du thème.

CI

Ajout d'un workflow GitHub Actions (composer audit) déclenché sur chaque push, PR et hebdomadairement.