WordPress向けCSVインポート・エクスポート「FE CSV Import & Export」v1.0.3 提供開始｜アップロードCSVの保護強化と各種インジェクション対策を含むセキュリティアップデート

FE CSV Import & Export 1.0.3 をリリースしました。主な変更点は以下の通りです。

セキュリティ修正

• アップロードされたインポートCSVへの直接Webアクセスを遮断 – アップロードされたCSVファイルを公開 uploads/YYYY/MM/ パスではなく保護された一時ディレクトリへ直接移動するよう変更。.htaccess/index.php 保護ファイルを毎回書き込み、一時ファイル名をランダム化。旧バージョンが残した孤立CSVファイルを削除する1回限りのクリーンアップも実装
• インポートしたカスタムフィールド値経由のPHPオブジェクトインジェクションを防止 – postmetaへ直接書き込まれる cf_ カラム値を検証し、細工されたシリアライズペイロードがPHPオブジェクトを生成できないように修正
• CSVエクスポートにおけるスプレッドシート数式インジェクションを無害化 – =、+、-、@、タブ、キャリッジリターンで始まるセル（metaキー由来の cf_ ヘッダーを含む）にシングルクォートを前置してエクスポートし、インポート時に復元。スプレッドシートアプリで開いた際の数式実行を防止
• インポートAJAXエンドポイントにインポート前認証フィルターを適用 – fe_csv_import_export_pre_ajax_import がファイル処理前に実行されるようになり、Pro版のアクセスチェックがインポートフロー全体に適用

ダウンロード: GitHub Releases