| प्लगइन का नाम | वर्डप्रेस भुगतान पृष्ठ प्लगइन |
|---|---|
| कमजोरियों का प्रकार | क्रॉस-साइट स्क्रिप्टिंग |
| CVE संख्या | CVE-2026-0751 |
| तात्कालिकता | मध्यम |
| CVE प्रकाशन तिथि | 2026-02-13 |
| स्रोत URL | CVE-2026-0751 |
CVE-2026-0751: गहराई से - प्रमाणित (लेखक) संग्रहीत XSS भुगतान पृष्ठ प्लगइन में
अपडेट (13 फरवरी 2026): एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता जो भुगतान पृष्ठ (स्ट्रीप के लिए भुगतान फॉर्म) वर्डप्रेस प्लगइन (संस्करण ≤ 1.4.6) को प्रभावित करती है, का खुलासा किया गया है। यह दोष एक प्रमाणित उपयोगकर्ता को लेखक विशेषाधिकार के साथ सामग्री को निम्नलिखित पैरामीटर के माध्यम से सहेजने की अनुमति देता है मूल्य निर्धारण योजना चयन पाठ फ़ॉन्ट परिवार जिसे बाद में पर्यटकों के लिए पर्याप्त स्वच्छता या escaping के बिना प्रस्तुत किया जाता है। नीचे एक तकनीकी विश्लेषण, प्रभाव मूल्यांकन, पहचान मार्गदर्शन, और व्यावहारिक शमन दिए गए हैं जो मैं हांगकांग के साइट मालिकों और सुरक्षा टीमों को सलाह देते समय उपयोग करता हूं।.
कार्यकारी सारांश
- सॉफ़्टवेयर: भुगतान पृष्ठ (स्ट्रीप के लिए भुगतान फॉर्म) वर्डप्रेस प्लगइन
- संवेदनशील संस्करण: ≤ 1.4.6
- भेद्यता: संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) के माध्यम से
मूल्य निर्धारण योजना चयन पाठ फ़ॉन्ट परिवार - CVE: CVE-2026-0751
- आवश्यक विशेषाधिकार: लेखक (प्रमाणित)
- CVSS (रिपोर्ट किया गया): ~5.9 (मध्यम) - प्रमाणित लेखक और कुछ उपयोगकर्ता इंटरैक्शन की आवश्यकता होती है
- रिपोर्ट किया गया द्वारा: अथिवाट टिप्रसाहर्न (जितलादा) - प्रकाशित 13 फरवरी 2026
सारांश: एक प्रमाणित लेखक एक दुर्भावनापूर्ण मान प्रदान कर सकता है जो एक फ़ॉन्ट पैरामीटर के लिए है जिसे प्लगइन संग्रहीत करता है और बाद में साइट के आगंतुकों को उचित सत्यापन/escaping के बिना आउटपुट करता है। संग्रहीत स्वभाव का मतलब है कि कई आगंतुक प्रभावित हो सकते हैं; परिणाम UI छेड़छाड़ और फ़िशिंग से लेकर सत्र चोरी तक हो सकते हैं, जो साइट के संदर्भ पर निर्भर करते हैं।.
यह क्यों महत्वपूर्ण है: भुगतान UI में संग्रहीत XSS
भुगतान और मूल्य निर्धारण इंटरफेस वेबसाइटों पर उच्च-विश्वास क्षेत्र होते हैं। उन घटकों में संग्रहीत XSS विशेष रूप से खतरनाक है क्योंकि:
- JavaScript साइट के मूल में निष्पादित होता है - हमलावर कुकीज़ तक पहुँच सकते हैं, उपयोगकर्ताओं के रूप में क्रियाएँ कर सकते हैं, या यदि समान-मूल नीतियाँ अनुमति देती हैं तो फ़ॉर्म इनपुट को इंटरसेप्ट कर सकते हैं।.
- इंजेक्टेड UI आगंतुकों को भ्रामक बना सकता है (फ़िशिंग या धोखाधड़ी संकेत) और वित्तीय या प्रतिष्ठात्मक नुकसान का कारण बन सकता है।.
- संग्रहीत पेलोड्स बने रहते हैं और हर आगंतुक को प्रभावित करते हैं जो संक्रमित पृष्ठ को देखते हैं, प्रभाव को बढ़ाते हैं।.
हांगकांग और अन्य न्यायालयों में जहां सक्रिय ईकॉमर्स और भुगतान गतिविधि होती है, प्रतिष्ठात्मक और नियामक परिणाम त्वरित शमन को आवश्यक बनाते हैं।.
दोष का तकनीकी सारांश
- प्रवेश बिंदु: पैरामीटर
मूल्य निर्धारण योजना चयन पाठ फ़ॉन्ट परिवार, फ़ॉन्ट चयन या लेबल पाठ के लिए अभिप्रेत।. - कमजोरी: प्लगइन इनपुट को स्वीकार करता है और संग्रहीत करता है, बाद में इसे HTML में संदर्भ-जानकारी के बिना या सख्त मान्यता के बिना प्रस्तुत करता है।.
- हमले का वेक्टर: प्रमाणित उपयोगकर्ता (लेखक भूमिका या उच्चतर) प्लगइन UI या सेटिंग्स के माध्यम से दुर्भावनापूर्ण सामग्री इंजेक्ट करता है। जब आगंतुक पृष्ठ लोड करते हैं, तो संग्रहीत सामग्री प्रस्तुत और निष्पादित होती है।.
- परिणाम: संग्रहीत XSS - आगंतुकों के ब्राउज़रों में मनमाना JavaScript निष्पादन।.
मूल कारण प्रतीत होता है कि अपेक्षित मानों के लिए मान्यता/व्हाइटलिस्टिंग की कमी है जो सामान्य फ़ॉन्ट नाम होने चाहिए और आउटपुट पर एस्केप करने में विफलता। एक सुरक्षित दृष्टिकोण फ़ॉन्ट्स को व्हाइटलिस्ट करेगा और सुनिश्चित करेगा कि सभी संग्रहीत मान सामान्य पाठ के रूप में प्रस्तुत किए जाएं या सुरक्षित रूप से एस्केप किए जाएं।.
किसे जोखिम है?
- भुगतान पृष्ठ (Stripe के लिए भुगतान फ़ॉर्म) प्लगइन संस्करण ≤ 1.4.6 चलाने वाली साइटें।.
- साइटें जो लेखकों (या समकक्ष भूमिकाओं) को मूल्य निर्धारण सेटिंग्स या प्लगइन UI को संपादित करने की क्षमता देती हैं।.
- बहु-लेखक ब्लॉग, सदस्यता साइटें, संपादकीय प्लेटफ़ॉर्म, और कोई भी साइट जहाँ तीसरे पक्ष प्रदर्शित सामग्री को संशोधित कर सकते हैं।.
यदि लेखकों को कड़ाई से नियंत्रित और पूरी तरह से जांचा गया है, तो तत्काल जोखिम कम है; यदि खाते साझा किए जाते हैं, पुन: उपयोग किए जाते हैं, या बाहरी ठेकेदारों द्वारा प्रबंधित होते हैं, तो जोखिम बढ़ता है।.
शोषणशीलता और प्रभाव मूल्यांकन
शोषणीयता: मध्यम — हमलावर को एक प्रमाणित लेखक खाता चाहिए। कोई अनधिकृत दूरस्थ शोषण का संकेत नहीं है।.
प्रभाव: परिवर्तनशील। संभावित परिणामों में शामिल हैं:
- कम–मध्यम: UI छेड़छाड़, रीडायरेक्ट, नुसेंस स्क्रिप्ट।.
- उच्च: सत्र चोरी, क्रेडेंशियल संग्रहण, जब फ़ॉर्म समान मूल साझा करते हैं तो भुगतान या व्यक्तिगत डेटा का कैप्चर, या दुर्भावनापूर्ण पेलोड का वितरण।.
क्योंकि यह भेद्यता संग्रहीत है, एकल इंजेक्शन समय के साथ कई आगंतुकों को प्रभावित कर सकता है।.
व्यावहारिक पहचान: संकेतक जिन्हें आप अभी जांच सकते हैं
- सूची: WordPress प्रशासन के माध्यम से प्लगइन की उपस्थिति और संस्करण की पुष्टि करें (Plugins > Installed Plugins)। उन पृष्ठों की पहचान करें जो मूल्य निर्धारण योजना UI प्रदर्शित करते हैं।.
- उपयोगकर्ता भूमिकाओं का ऑडिट: लेखक विशेषाधिकार या उससे उच्चतर वाले खातों की सूची बनाएं और मूल्य निर्धारण या प्लगइन सेटिंग्स में हाल के परिवर्तनों की समीक्षा करें।.
- संग्रहीत डेटा खोजें: संदिग्ध स्ट्रिंग्स के लिए डेटाबेस तालिकाओं (जैसे,
wp_postmeta, प्लगइन विकल्प) को HTML टैग्स (
