| प्लगइन का नाम | रॉयल एलेमेंटोर ऐडऑन्स |
|---|---|
| कमजोरियों का प्रकार | XSS |
| CVE संख्या | CVE-2024-12120 |
| तात्कालिकता | मध्यम |
| CVE प्रकाशन तिथि | 2026-02-03 |
| स्रोत URL | CVE-2024-12120 |
महत्वपूर्ण मार्गदर्शन — CVE-2024-12120: प्रमाणित (योगदानकर्ता) संग्रहीत XSS रॉयल एलेमेंटोर ऐडऑन में (<= 1.7.1017)
लेखक: हांगकांग सुरक्षा विशेषज्ञ
तारीख: 2026-02-03
Summary: A stored Cross-Site Scripting (XSS) vulnerability (CVE-2024-12120) was disclosed in the Royal Elementor Addons & Templates plugin affecting versions ≤ 1.7.1017. An authenticated user with Contributor-level privileges can inject stored JavaScript that may execute in the browser of higher-privileged users or site visitors. This post explains the technical details, real-world risk, detection steps, and practical mitigation strategies you can apply immediately from the perspective of a Hong Kong security practitioner.
TL;DR — त्वरित तथ्य
- भेद्यता: संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS)
- CVE: CVE-2024-12120
- Affected software: Royal Elementor Addons & Templates plugin ≤ 1.7.1017
- ठीक किया गया: 1.7.1018 (तुरंत अपग्रेड करें)
- आवश्यक हमलावर विशेषाधिकार: प्रमाणित योगदानकर्ता (या उच्च, साइट कॉन्फ़िगरेशन के आधार पर)
- शोषण वेक्टर: हमलावर प्लगइन-नियंत्रित क्षेत्र(ों) में पेलोड संग्रहीत करता है; स्क्रिप्ट तब निष्पादित होती है जब विशेषाधिकार प्राप्त उपयोगकर्ता या आगंतुक संग्रहीत सामग्री को देखते हैं
- जोखिम: मध्यम (CVSS ~6.5 रिपोर्ट किया गया) — हमलावर ब्राउज़र-साइड जावास्क्रिप्ट चला सकता है जिससे सत्र चोरी, सामग्री इंजेक्शन, या स्थिरता हो सकती है
- तात्कालिक शमन: प्लगइन को अपडेट करें, योगदानकर्ता खातों को हटा/सीमित करें, अनुरोध निरीक्षण स्तर पर आभासी पैच लागू करें, इंजेक्ट की गई सामग्री के लिए स्कैन करें
यह क्यों महत्वपूर्ण है (वास्तविक दुनिया का प्रभाव)
संग्रहीत XSS सबसे खतरनाक क्लाइंट-साइड कमजोरियों में से एक है। जब मनमाना जावास्क्रिप्ट डेटाबेस में सहेजा जाता है और बाद में किसी अन्य उपयोगकर्ता के ब्राउज़र में निष्पादित होता है, तो हमलावर:
- प्रशासकों के कुकीज़ या सत्र टोकन चुरा सकते हैं और पूर्ण साइट पर कब्जा करने का प्रयास कर सकते हैं।.
- विशेषाधिकार प्राप्त उपयोगकर्ता की ओर से ब्राउज़र में क्रियाएँ कर सकते हैं (सेटिंग बदलना, प्लगइन स्थापित करना, सामग्री प्रकाशित करना)।.
- स्थायी दुर्भावनापूर्ण सामग्री इंजेक्ट कर सकते हैं (रीडायरेक्ट, अवांछित विज्ञापन, या DOM-आधारित बैकडोर)।.
- ऐसी स्थिरता बना सकते हैं जो फ़ाइल-स्कैन से बचती है, क्योंकि पेलोड डेटाबेस में रहते हैं।.
- प्रभाव को बढ़ाने या डेटा को निकालने के लिए अन्य कमजोरियों के साथ संयोजन कर सकते हैं।.
क्योंकि यह बग एक योगदानकर्ता स्तर के खाते द्वारा सक्रिय किया जा सकता है — एक भूमिका जो अक्सर लेखकों और सामग्री प्रस्तुतकर्ताओं के लिए उपयोग की जाती है — उपयोगकर्ता द्वारा प्रस्तुत सामग्री स्वीकार करने वाली साइटें विशेष रूप से जोखिम में हैं।.
तकनीकी अवलोकन: यह कमजोरियों कैसे काम करती है
यह एक क्लासिक संग्रहीत-XSS है जो प्लगइन UI या रेंडरिंग लॉजिक में अपर्याप्त इनपुट सत्यापन और आउटपुट escaping की कमी के कारण होती है। व्यावहारिक रूप से:
- एक प्रमाणित उपयोगकर्ता जिसके पास योगदानकर्ता विशेषाधिकार हैं, प्लगइन द्वारा प्रदर्शित सामग्री क्षेत्र को बनाता या अपडेट करता है (टेम्पलेट विवरण, विजेट पैरामीटर, शॉर्टकोड विशेषता, या प्लगइन-प्रबंधित पोस्टमेटा)।.
- प्लगइन इनपुट को उचित सफाई के बिना स्वीकार करता है और सहेजता है।.
- Later, when an admin/editor or visitor views a page or admin screen that renders the stored field, the plugin outputs the data without encoding, allowing embedded
