Cross‑Site Scripting (CVE‑2026‑1065) in Form Maker by 10Web — What WordPress Site Owners Must Do Now

प्लगइन का नाम	10Web द्वारा WordPress फ़ॉर्म मेकर
कमजोरियों का प्रकार	क्रॉस साइट स्क्रिप्टिंग
CVE संख्या	CVE-2026-1065
तात्कालिकता	मध्यम
CVE प्रकाशन तिथि	2026-02-08
स्रोत URL	CVE-2026-1065

10Web द्वारा फ़ॉर्म मेकर में क्रॉस-साइट स्क्रिप्टिंग (CVE-2026-1065) — वर्डप्रेस साइट मालिकों को अब क्या करना चाहिए

दिनांक: 2026-02-06 · लेखक: हांगकांग सुरक्षा विशेषज्ञ

फ़ॉर्म मेकर में SVG अपलोड के माध्यम से अप्रमाणित संग्रहीत XSS (<=1.15.35) को CVE-2026-1065 के रूप में प्रकाशित किया गया था। यह पोस्ट जोखिम, हमलावरों द्वारा SVG अपलोड हैंडलिंग का दुरुपयोग कैसे किया जा सकता है, शोषण का पता कैसे लगाया जाए, और एक विस्तृत शमन और पुनर्प्राप्ति चेकलिस्ट समझाती है।.

सामग्री की तालिका

यह सुरक्षा दोष क्यों महत्वपूर्ण है
तकनीकी अवलोकन (शोषण कोड के बिना)
हमलावर SVG अपलोड का दुरुपयोग कैसे कर सकते हैं
किस पर प्रभाव पड़ता है
पहचान: समझौते के संकेत
तात्कालिक शमन कदम
मजबूत करना और दीर्घकालिक रक्षा
घटना प्रतिक्रिया और पुनर्प्राप्ति चेकलिस्ट
व्यावहारिक जांच और प्रश्न
अंतिम नोट्स और संदर्भ

यह सुरक्षा दोष क्यों महत्वपूर्ण है

संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) एक उच्च-प्रभाव क्लाइंट-साइड भेद्यता है। इस मामले में, अप्रमाणित हमलावरों ने तैयार किए गए SVG फ़ाइलों को अपलोड किया जो साइट पर बने रहते हैं और आगंतुकों के ब्राउज़रों द्वारा प्रदर्शित होने पर JavaScript निष्पादित करते हैं। चूंकि भेद्यता अप्रमाणित है, हमलावर को उपयोगकर्ता खाता की आवश्यकता नहीं है — केवल कमजोर अपलोड एंडपॉइंट तक पहुँचने की क्षमता।.

संभावित परिणामों में शामिल हैं:

प्रमाणित कुकीज़ और सत्र टोकन की चोरी (जिससे विशेषाधिकार वृद्धि होती है);
यदि प्रशासक संक्रमित पृष्ठों को देखते हैं तो चुपचाप प्रशासनिक खाता अधिग्रहण;
स्थायी सामग्री इंजेक्शन (फिशिंग, विकृति, विज्ञापन सम्मिलन);
साइट आगंतुकों को ड्राइव-बाय मैलवेयर वितरण;
उपयोगकर्ता के ब्राउज़र में सुलभ डेटा का निष्कासन (फॉर्म प्रविष्टियाँ, संपर्क डेटा);
प्रतिष्ठा को नुकसान और SEO दंड।.

SVG XML हैं और इनमें शामिल हो सकते हैं <script> टैग या इवेंट विशेषताएँ जैसे लोड होने पर. यदि अपलोड हैंडलिंग केवल फ़ाइल एक्सटेंशन या MIME प्रकार की जांच करती है, तो दुर्भावनापूर्ण SVG कमजोर जांचों को बायपास कर सकते हैं और आपके मूल के संदर्भ में चल सकते हैं।.

तकनीकी अवलोकन (गैर-शोषण)

Form Maker द्वारा 10Web के संस्करण 1.15.35 तक और इसमें SVG फ़ाइलों के बिना प्रमाणीकरण अपलोड और संग्रह की अनुमति देते हैं, जिनमें निष्पादन योग्य JavaScript होता है। जब उन फ़ाइलों को बाद में आपके मूल से परोसा या एम्बेड किया जाता है, तो एम्बेडेड स्क्रिप्ट आगंतुक के ब्राउज़र में चलती है। इस मुद्दे को CVE‑2026‑1065 के रूप में ट्रैक किया गया है और इसका CVSS v3.1 स्कोर 7.1 है।.

SVG विशेष क्यों है

SVG XML दस्तावेज़ हैं और इनमें स्क्रिप्ट टैग और इवेंट विशेषताएँ (onload, onerror, आदि) शामिल हो सकती हैं।.
ब्राउज़र SVG को इनलाइन रेंडर करते हैं; इनलाइन JavaScript पृष्ठ के मूल के साथ चलती है।.
कुछ अपलोड हैंडलर केवल एक्सटेंशन/MIME प्रकार की पुष्टि करते हैं और वास्तविक सामग्री की नहीं।.
आपके डोमेन से परोसा गया एक दुर्भावनापूर्ण SVG कुकीज़ और उस मूल के लिए DOM तक पहुँच सकता है।.

हम यहाँ शोषण कोड को पुन: उत्पन्न नहीं करेंगे। नीचे दिए गए मार्गदर्शन में सुरक्षित पहचान, शमन और पुनर्प्राप्ति पर ध्यान केंद्रित किया गया है।.

हमलावर SVG अपलोड का दुरुपयोग कैसे कर सकते हैं

उच्च-स्तरीय हमले का प्रवाह

हमलावर Form Maker (या एक फ़ॉर्म फ़ील्ड) में एक अपलोड एंडपॉइंट का पता लगाता है जो SVG फ़ाइलों को स्वीकार करता है।.
वे एक SVG तैयार करते हैं जिसमें JavaScript या एक इवेंट हैंडलर (उदाहरण के लिए, एक लोड होने पर विशेषता) होती है जो निष्पादित होने पर दुर्भावनापूर्ण क्रियाएँ करती है।.
तैयार किया गया SVG अपलोड किया जाता है और साइट पर संग्रहित किया जाता है (आम तौर पर /wp-content/uploads/).
हमलावर उन पृष्ठों पर जाने को प्रेरित करता है जो उस SVG को एम्बेड या लिंक करते हैं, या सामान्य आगंतुकों/प्रशासकों के लिए प्रतीक्षा करता है कि वे उन पृष्ठों को लोड करें जहाँ SVG उपलब्ध है।.
जब एक ब्राउज़र आपके मूल से SVG लोड करता है, तो एम्बेडेड स्क्रिप्ट उस ब्राउज़र संदर्भ में चलती है जिसमें साइट कुकीज़ और DOM तक पहुँच होती है।.

सामान्य हमलावर उद्देश्य कुकी चोरी, सामग्री इंजेक्शन (फिशिंग), प्रशासनिक अधिग्रहण, सर्वर-साइड समझौते की ओर बढ़ना, और डेटा निकासी शामिल हैं।.

किस पर प्रभाव पड़ता है

कोई भी WordPress साइट जो Form Maker द्वारा 10Web के संस्करण 1.15.35 या उससे पहले चल रही है।.
साइटें जो अपलोड किए गए SVG को उसी मूल से सेवा या रेंडर करने की अनुमति देती हैं।.
प्रशासक और साइट प्रबंधक जो संक्रमित पृष्ठों को देख सकते हैं।.
आगंतुक जिनके ब्राउज़र इनलाइन SVG स्क्रिप्ट को निष्पादित कर सकते हैं।.

यदि आप सुनिश्चित नहीं हैं कि आप कौन सा संस्करण चला रहे हैं, तो WP‑Admin में Plugins > Installed Plugins की जांच करें या निरीक्षण करें। wp-content/plugins/form-maker.

पहचान: शोषण के संकेतों की तलाश करें

इन जांचों को तुरंत करें - ये यह निर्धारित करने में मदद करते हैं कि क्या कमजोरियों का शोषण किया गया है।.

1. हाल के SVG के लिए अपलोड की गई फ़ाइलों की खोज करें

निरीक्षण करें /wp-content/uploads/ और अन्य अपलोड निर्देशिकाओं के लिए .svg उन फ़ाइलों की जो एक्सपोज़र विंडो के दौरान जोड़ी गई थीं।.
असामान्य फ़ाइल नामों या अनाम स्रोतों द्वारा अपलोड की गई फ़ाइलों की तलाश करें।.

2. संदिग्ध SVG सामग्री के लिए फ़ाइलों और डेटाबेस की खोज करें

SVG फ़ाइलों और संग्रहीत सामग्री के भीतर 9. या विशेषताओं जैसे onload=, 11. साइट मालिकों के लिए तात्कालिक कदम, त्रुटि होने पर=, या जावास्क्रिप्ट: घटनाओं की खोज करें।.
पोस्ट, कस्टम पोस्ट प्रकार और फॉर्म प्रविष्टियों में एम्बेडेड की खोज करें <svg जो वहां नहीं होनी चाहिए।.

3. WP‑Admin मीडिया लाइब्रेरी की समीक्षा करें

हाल ही में जोड़े गए मीडिया आइटम की जांच करें। हमलावर कभी-कभी मीडिया लाइब्रेरी से कनेक्ट करने वाले फॉर्म के माध्यम से अपलोड करते हैं।.

4. संदिग्ध POST या अपलोड के लिए लॉग स्कैन करें

उन फॉर्म एंडपॉइंट्स के लिए POST अनुरोधों की तलाश करें जिनमें multipart/form‑data शामिल है। .svg फ़ाइलें।.
एक ही IP से दोहराए गए अपलोड या असामान्य उपयोगकर्ता एजेंट के लिए जांचें।.

5. उपयोगकर्ता और सत्र परिवर्तनों की जांच करें

नए उपयोगकर्ता खातों, भूमिका परिवर्तनों, असामान्य पासवर्ड रीसेट, या संदिग्ध व्यवस्थापक लॉगिन की तलाश करें।.

6. आउटबाउंड/नेटवर्क गतिविधि की जांच करें

वेब प्रक्रियाओं द्वारा शुरू की गई असामान्य आउटबाउंड कनेक्शनों के लिए सर्वर लॉग की समीक्षा करें जो अनुवर्ती गतिविधि का संकेत दे सकते हैं।.

7. मैलवेयर स्कैनिंग और फ़ाइल अखंडता जांच का उपयोग करें

नए या संशोधित फ़ाइलों और संदिग्ध डेटाबेस प्रविष्टियों का पता लगाने के लिए एक विश्वसनीय मैलवेयर स्कैनर और फ़ाइल-इंटीग्रिटी मॉनिटर चलाएँ।.

यदि आप दुर्भावनापूर्ण SVGs या इंजेक्टेड स्क्रिप्ट पाते हैं, तो नीचे दिए गए घटना प्रतिक्रिया चरणों का पालन करें। विनाशकारी परिवर्तनों करने से पहले सबूत को संरक्षित करें।.

तात्कालिक शमन कदम (तेज़, सुरक्षित)

प्रभाव को नियंत्रित और कम करने के लिए इन क्रियाओं को प्राथमिकता दें।.

प्लगइन को अपडेट करें — फ़ॉर्म मेकर को 10Web द्वारा तुरंत संस्करण 1.15.36 या बाद में अपग्रेड करें। यह भेद्यता के लिए विक्रेता का समाधान है।.
कमजोर प्लगइन को निष्क्रिय करें — यदि आप अभी अपडेट नहीं कर सकते हैं, तो अपलोड सतह को हटाने के लिए प्लगइन को निष्क्रिय करें।.
अपलोड एंडपॉइंट को ब्लॉक करें — अपलोड के लिए उपयोग किए जाने वाले AJAX/पृष्ठ एंडपॉइंट की पहचान करें और इसे सर्वर या एप्लिकेशन स्तर पर PATCH होने तक POSTs को ब्लॉक करें।.
संदिग्ध SVGs को संगरोध में रखें — संदिग्ध फ़ाइलों को सार्वजनिक अपलोड निर्देशिका से बाहर ले जाएँ; उन्हें अपने मूल से ब्राउज़र में न खोलें।.
स्कैन और साफ करें — फ़ाइल और डेटाबेस स्कैन चलाएँ; पोस्ट, फ़ॉर्म प्रविष्टियों या विकल्पों में पाए गए संग्रहीत पेलोड को हटा दें या साफ़ करें।.
क्रेडेंशियल्स को घुमाएं — व्यवस्थापक पासवर्ड और किसी भी API कुंजी या टोकन को रीसेट करें। यदि सत्र चोरी का संदेह है तो सक्रिय सत्रों को अमान्य करें।.
कैश और CDNs को साफ़ करें — कैश को साफ करें ताकि हटाया गया सामग्री सेवा में न रहे।.
सामग्री सुरक्षा नीति (CSP) को सक्षम करें या मजबूत करें। — एक प्रतिबंधात्मक CSP जो सीमित करता है स्क्रिप्ट-स्रोत और इनलाइन स्क्रिप्ट को अस्वीकार करना शोषण के प्रभाव को कम कर सकता है।.
लॉग की निगरानी करें — नए अपलोड, अप्रत्याशित प्रशासनिक गतिविधि, और असामान्य आउटगोइंग ट्रैफ़िक की जांच करते रहें।.

महत्वपूर्ण: बैकअप को तब तक न हटाएं जब तक आप सुनिश्चित न हों कि वे साफ हैं। फोरेंसिक विश्लेषण के लिए एक सुरक्षित प्रति बनाए रखें।.

मजबूत करना और दीर्घकालिक रक्षा

अपलोड हैंडलिंग और सामान्य हार्डनिंग पर ध्यान दें ताकि पुनरावृत्ति को रोका जा सके।.

फ़ाइल अपलोड के सर्वोत्तम अभ्यास

यदि SVG अपलोड आवश्यक नहीं हैं तो उन्हें अस्वीकार करें। सबसे सरल समाधान SVG समर्थन को हटाना है।.
यदि SVG की आवश्यकता है, तो एक सर्वर-साइड सेनिटाइज़र का उपयोग करें जो स्क्रिप्ट और खतरनाक विशेषताओं (onload, onclick, आदि) को हटा देता है।.
फ़ाइल सामग्री को मान्य करें (XML संरचना का निरीक्षण करें), केवल एक्सटेंशन या MIME प्रकार नहीं।.
अपलोड किए गए SVG को वेब रूट के बाहर स्टोर करने पर विचार करें या इनलाइन रेंडरिंग के बजाय डाउनलोड को मजबूर करें (Content-Disposition: attachment)।.
जहां संभव हो, SVG को रास्टर छवियों (PNG) में सर्वर-साइड पर परिवर्तित करें ताकि स्क्रिप्टिंग वेक्टर को समाप्त किया जा सके।.

प्रतिक्रिया हेडर और सेवा नीतियाँ

सेट X-Content-Type-Options: nosniff.
एक सख्त सामग्री सुरक्षा नीति लागू करें जो विश्वसनीय स्क्रिप्ट स्रोतों को सीमित करती है और जहां संभव हो, इनलाइन स्क्रिप्ट को अस्वीकार करती है।.
जहां इनलाइन रेंडरिंग की आवश्यकता नहीं है, वहां उपयोग करें सामग्री-निष्कर्ष: संलग्नक सेवा में SVG पर।.

वर्डप्रेस कॉन्फ़िगरेशन और प्रथाएँ

WordPress कोर, थीम और प्लगइन्स को अद्यतित रखें।.
उपयोगकर्ता खातों के लिए न्यूनतम विशेषाधिकार लागू करें और डैशबोर्ड फ़ाइल संपादन को अक्षम करें (define('DISALLOW_FILE_EDIT', true);).
जहां व्यावहारिक हो, प्रमाणित/विश्वसनीय उपयोगकर्ताओं के लिए अपलोड क्षमताओं को सीमित करें।.

निगरानी और पहचान

ज्ञात अच्छे आधार रेखा के खिलाफ नए/संशोधित फ़ाइलों का पता लगाने के लिए फ़ाइल अखंडता निगरानी सक्षम करें।.
लॉग को केंद्रीकृत करें और संदिग्ध अपलोड गतिविधियों और अप्रत्याशित व्यवस्थापक लॉगिन के लिए अलर्ट जोड़ें।.
नियमित रूप से अद्यतन मैलवेयर स्कैनर के साथ स्कैन करें और परिणामों की समीक्षा करें।.

प्लगइन चयन और जोखिम मूल्यांकन

फ़ाइल अपलोड की अनुमति देने वाले प्लगइनों का सावधानीपूर्वक मूल्यांकन करें। सुरक्षित अपलोड हैंडलिंग और स्वच्छता प्रथाओं का दस्तावेज़ीकरण करने वाले प्लगइनों को प्राथमिकता दें, और उजागर अपलोड सतहों को न्यूनतम करें।.

घटना प्रतिक्रिया और पुनर्प्राप्ति चेकलिस्ट

क्षति को सीमित करने और सबूतों को संरक्षित करने के लिए इन चरणों का पालन करें।.

संकुचन

आगे की इंटरैक्शन को रोकने के लिए साइट को रखरखाव मोड में डालें।.
यदि आवश्यक हो तो कमजोर प्लगइन को निष्क्रिय करें या साइट को ऑफ़लाइन ले जाएं।.
अपलोड एंडपॉइंट को अवरुद्ध करें और व्यवस्थापकों के लिए IP अनुमति सूची द्वारा WP-Admin पहुंच को प्रतिबंधित करने पर विचार करें।.

संरक्षण

फोरेंसिक विश्लेषण के लिए विनाशकारी परिवर्तनों से पहले पूर्ण फ़ाइल सिस्टम और डेटाबेस बैकअप लें।.
संबंधित समय सीमा को कवर करते हुए सर्वर लॉग (एक्सेस, त्रुटि, FTP, SSH) निर्यात करें।.

उन्मूलन

दुर्भावनापूर्ण SVGs और किसी अन्य संदिग्ध फ़ाइलों को हटा दें या क्वारंटाइन करें।.
इंजेक्टेड स्क्रिप्ट या अप्राकृतिक सामग्री वाले डेटाबेस प्रविष्टियों को साफ करें।.
Form Maker को 1.15.36 या बाद के संस्करण में अपडेट करें और सुनिश्चित करें कि WordPress कोर, थीम और प्लगइन्स पैच किए गए हैं।.
बैकडोर या वेब शेल खोजने और हटाने के लिए साइट को पूरी तरह से स्कैन करें।.

पुनर्प्राप्ति

व्यवस्थापक पासवर्ड और साइट पर संग्रहीत किसी भी सेवा क्रेडेंशियल को घुमाएं।.
लीक किए गए टोकन के पुन: उपयोग को रोकने के लिए मौजूदा सत्रों को अमान्य करें।.
फ़ाइल और निर्देशिका अनुमतियों को मजबूत करें; सुनिश्चित करें कि अपलोड निर्देशिकाएँ निष्पादन योग्य नहीं हैं।.
यदि आवश्यक हो तो ज्ञात स्वच्छ स्रोतों से सामग्री को फिर से तैनात करें।.

घटना के बाद

जांच के दौरान खोजे गए किसी भी अन्य एक्सेस वेक्टर को बंद करें (खुले पोर्ट, कमजोर क्रेडेंशियल)।.
कम से कम 30 दिनों के लिए चल रही संदिग्ध गतिविधियों के लिए लॉग की निगरानी करें।.
सीखे गए पाठों का दस्तावेजीकरण करें और आगे बढ़ने के लिए शोषित पैटर्न को ब्लॉक करने के लिए आंतरिक रनबुक और नियमों को अपडेट करें।.

यदि आप कई वर्डप्रेस साइटों का प्रबंधन करते हैं, तो इसे संभावित रूप से व्यापक मानें और अपने संपत्ति में स्कैनिंग और पैचिंग को प्राथमिकता दें।.

साइट मालिकों के लिए व्यावहारिक जांच और प्रश्न (त्वरित चेकलिस्ट)

क्या आप 10Web द्वारा Form Maker चला रहे हैं? प्लगइन्स > इंस्टॉल किए गए प्लगइन्स की जांच करें।.
क्या प्लगइन संस्करण ≤ 1.15.35 है? यदि हाँ, तो तुरंत अपडेट करें।.
क्या आपने अपने मीडिया लाइब्रेरी में या प्लगइन फॉर्म के माध्यम से SVG अपलोड की अनुमति दी है? सेटिंग्स की समीक्षा करें।.
खोजें /wp-content/uploads/ के लिए .svg पिछले 30–90 दिनों में अपलोड की गई फ़ाइलें।.
डेटाबेस के लिए स्कैन करें <svg, 9. या विशेषताओं जैसे onload=, 11. साइट मालिकों के लिए तात्कालिक कदम, त्रुटि होने पर= स्ट्रिंग्स।.
संदिग्ध POSTs के लिए एक्सेस लॉग और फॉर्म सबमिशन एंडपॉइंट की समीक्षा करें जो SVGs अपलोड कर रहे हैं।.
यदि आप संदिग्ध फ़ाइलें देखते हैं, तो उन्हें क्वारंटाइन करें (वेब रूट के बाहर ले जाएं) और हटाने से पहले फोरेंसिक बैकअप लें।.

अंतिम नोट्स

यह भेद्यता फ़ाइल अपलोड हैंडलिंग के निरंतर जोखिम को उजागर करती है। SVGs उपयोगी हैं लेकिन अविश्वसनीय स्रोतों से स्वीकार किए जाने पर खतरनाक हैं। समय पर पैचिंग, सख्त अपलोड सैनिटेशन, प्रतिक्रिया योजना और स्तरित रक्षा आवश्यक हैं।.

यदि आपको समझौते के संकेतों का प्राथमिकता देने या किसी विशेष वर्डप्रेस तैनाती को मजबूत करने में सहायता की आवश्यकता है, तो एक योग्य सुरक्षा पेशेवर से परामर्श करें। तेज, सावधानीपूर्वक कार्रवाई पूर्ण साइट समझौते के जोखिम को कम करती है।.

सतर्क रहें - अपलोड एंडपॉइंट्स को उच्च-जोखिम हमले की सतहों के रूप में मानें।.

संदर्भ और आगे की पढ़ाई

10Web द्वारा Form Maker के लिए विक्रेता सलाह / रिलीज नोट्स (प्लगइन चेंज लॉग की जांच करें)।.
CVE‑2026‑1065 — सार्वजनिक भेद्यता सूची: CVE-2026-1065.
SVG फ़ाइलों के सुरक्षित हैंडलिंग और सैनिटाइजेशन पर मार्गदर्शन और अनुशंसित सैनिटाइजेशन पुस्तकालय।.

सामुदायिक चेतावनी वर्डप्रेस फॉर्म मेकर XSS(CVE20261065)