| प्लगइन का नाम | कॉम्प्लियंज |
|---|---|
| कमजोरियों का प्रकार | क्रॉस-साइट स्क्रिप्टिंग (XSS) |
| CVE संख्या | CVE-2025-11185 |
| तात्कालिकता | कम |
| CVE प्रकाशन तिथि | 2026-02-17 |
| स्रोत URL | CVE-2025-11185 |
तत्काल: कॉम्प्लियाज़ <= 7.4.3 शॉर्टकोड के माध्यम से स्टोर किया गया XSS — वर्डप्रेस साइट के मालिकों को अब क्या करना चाहिए
लेखक: हांगकांग सुरक्षा विशेषज्ञ
TL;DR
वर्डप्रेस के लिए कॉम्प्लियाज़ GDPR/CCPA कुकी सहमति प्लगइन में एक स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS) सुरक्षा दोष का खुलासा किया गया है जो संस्करणों को प्रभावित करता है <= 7.4.3 (CVE-2025-11185)। एक प्रमाणित उपयोगकर्ता जिसके पास योगदानकर्ता विशेषाधिकार (या उच्चतर) हैं, वह प्लगइन शॉर्टकोड के माध्यम से जावास्क्रिप्ट इंजेक्ट कर सकता है। वह पेलोड स्टोर किया जाता है और बाद में प्रस्तुत किया जाता है, जिससे साइट के आगंतुकों और प्रशासकों के संदर्भ में क्लाइंट-साइड कोड निष्पादन सक्षम होता है।.
यदि आप इस प्लगइन को चलाते हैं, तो जल्दी कार्रवाई करें:
- तुरंत कॉम्प्लियंज को संस्करण 7.4.4 या बाद में अपडेट करें — यह समस्या को पूरी तरह से ठीक करता है।.
- यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो नीचे दिए गए शमन उपायों का उपयोग करें: योगदानकर्ता क्षमताओं को सीमित करें, संदिग्ध शॉर्टकोड और स्क्रिप्ट-जैसे सामग्री को खोजें और हटाएं, और अपने WAF या फ़िल्टरिंग तंत्र के माध्यम से अस्थायी वर्चुअल पैच लागू करें।.
- यदि आवश्यक हो, तो सत्यापित करने और पुनर्प्राप्त करने के लिए नीचे दिए गए पहचान और घटना प्रतिक्रिया चेकलिस्ट का उपयोग करें।.
पृष्ठभूमि: क्या हुआ और यह क्यों महत्वपूर्ण है
कॉम्प्लियंज कुकी-सहमति प्लगइन एक स्टोर्ड XSS समस्या को उजागर करता है जब कुछ शॉर्टकोड अविश्वसनीय इनपुट स्वीकार करते हैं जो आउटपुट से पहले ठीक से साफ या एन्कोड नहीं किया गया है। एक हमलावर जो योगदानकर्ता-स्तरीय खाता प्राप्त कर सकता है (उदाहरण के लिए, पंजीकरण या खाता समझौता के माध्यम से) एक दुर्भावनापूर्ण शॉर्टकोड पेलोड वाला सामग्री बना या संपादित कर सकता है। जब उस सामग्री को फ्रंटेंड पर प्रस्तुत किया जाता है — या कुछ प्रशासनिक संदर्भों में देखा जाता है — तो दुर्भावनापूर्ण स्क्रिप्ट पीड़ित के ब्राउज़र में निष्पादित होती है।.
स्टोर्ड XSS विशेष रूप से खतरनाक है क्योंकि पेलोड साइट के डेटाबेस में सहेजा जाता है और प्रभावित पृष्ठ को देखने वाले प्रत्येक आगंतुक या प्रशासक के लिए निष्पादित होगा जब तक कि इसे हटा नहीं दिया जाता।.
एक नज़र में प्रमुख तथ्य
- प्रभावित सॉफ़्टवेयर: कॉम्प्लियंज GDPR/CCPA कुकी सहमति प्लगइन वर्डप्रेस के लिए
- कमजोर संस्करण: <= 7.4.3
- ठीक किया गया: 7.4.4
- CVE: CVE-2025-11185
- आवश्यक विशेषाधिकार: योगदानकर्ता (प्रमाणित)
- प्रकार: स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS)
- पैच स्थिति: अपडेट उपलब्ध — तुरंत अपग्रेड करें
तकनीकी मूल कारण (उच्च-स्तरीय)
शॉर्टकोड प्लगइनों को ऐसे गुण और सामग्री स्वीकार करने की अनुमति देते हैं जो बाद में HTML के रूप में प्रस्तुत की जाती हैं। जब एक प्लगइन इन मूल्यों को आउटपुट से पहले साफ़ या एस्केप करने में विफल रहता है, तो एक हमलावर मार्कअप या जावास्क्रिप्ट डाल सकता है जो उपयोगकर्ताओं के ब्राउज़रों में चलेगा।.
इस मामले में, प्लगइन का शॉर्टकोड हैंडलिंग योगदानकर्ता-नियंत्रित डेटा को स्वीकार करता है और बाद में इसे पर्याप्त एन्कोडिंग या फ़िल्टरिंग के बिना आउटपुट करता है। वह संयोजन — प्रमाणित सामग्री निर्माण और असुरक्षित आउटपुट एन्कोडिंग — स्टोर्ड XSS का परिणाम है। यह एक प्लगइन-विशिष्ट समस्या है, वर्डप्रेस कोर शॉर्टकोड कार्यक्षमता के साथ कोई समस्या नहीं है।.
वास्तविक दुनिया का प्रभाव और परिदृश्य
स्टोर किया गया XSS परिणाम “क्लाइंट-साइड परेशानी” से परे बढ़ता है:
- सत्र चोरी: कुकीज़ या टोकन जो JavaScript के लिए सुलभ हैं, उन्हें निकाला जा सकता है।.
- विशेषाधिकार वृद्धि: यदि एक व्यवस्थापक दुर्भावनापूर्ण सामग्री को देखता है, तो हमलावर उस सत्र का उपयोग करके क्रियाएँ कर सकता है।.
- प्रतिष्ठा और SEO क्षति: इंजेक्टेड विज्ञापन, रीडायरेक्ट या दुर्भावनापूर्ण सामग्री विश्वास और रैंकिंग को नुकसान पहुँचाती है।.
- मैलवेयर वितरण: दुर्भावनापूर्ण साइटों पर रीडायरेक्ट या ड्राइव-बाय डाउनलोड।.
- डेटा निकासी: संवेदनशील DOM सामग्री को स्क्रैप करना जो ब्राउज़र में देखी जा सकती है।.
- स्थायी समझौता: संग्रहीत पेलोड तब तक रहते हैं जब तक उन्हें हटा नहीं दिया जाता और वे अनुवर्ती हमलों का समर्थन कर सकते हैं।.
वे साइटें जो व्यवस्थापकों या संपादकों को योगदानकर्ता सामग्री का पूर्वावलोकन करने की अनुमति देती हैं, उच्च जोखिम में हैं - एक हमलावर को केवल एक विशेषाधिकार प्राप्त उपयोगकर्ता की आवश्यकता होती है जो दुर्भावनापूर्ण सामग्री को देखने के लिए प्रभाव को बढ़ाने के लिए।.
एक हमलावर इसको कैसे शोषण कर सकता है (चरण-दर-चरण, कोई शोषण कोड नहीं)
- हमलावर एक योगदानकर्ता के रूप में पंजीकरण करता है (या एक योगदानकर्ता खाते से समझौता करता है)।.
- वे एक पोस्ट/पृष्ठ या अन्य सामग्री क्षेत्र में दुर्भावनापूर्ण विशेषताओं या सामग्री के साथ एक शॉर्टकोड जोड़ते हैं जो शॉर्टकोड स्वीकार करता है।.
- पेलोड डेटाबेस में सहेजा जाता है (संग्रहीत) और संपादक में निर्दोष दिखाई दे सकता है।.
- जब एक व्यवस्थापक/संपादक या आगंतुक पृष्ठ को देखता है, तो प्लगइन शॉर्टकोड को रेंडर करता है और पृष्ठ HTML में दुर्भावनापूर्ण JavaScript को उत्सर्जित करता है।.
- स्क्रिप्ट पीड़ित के ब्राउज़र में निष्पादित होती है और सत्र चोरी, CSRF-जैसे प्रशासनिक क्रियाएँ, विकृति, रीडायरेक्ट, या डेटा निकासी जैसी क्रियाएँ कर सकती है।.
शोषणीयता और संभावना
इस भेद्यता के लिए एक प्रमाणित योगदानकर्ता-स्तरीय खाते की आवश्यकता होती है। वास्तविक दुनिया में संभावना इस पर निर्भर करती है कि हमलावरों के लिए आपके साइट पर ऐसा खाता प्राप्त करना कितना आसान है:
- ओपन पंजीकरण: उच्च जोखिम - हमलावर स्वयं पंजीकरण कर सकते हैं।.
- मॉडरेटेड पंजीकरण: मध्यम जोखिम (समझौता या सामाजिक इंजीनियरिंग संभव)।.
- प्रतिबंधित पंजीकरण: कम जोखिम।.
प्रकाशित CVSS 6.5 (मध्यम) है, लेकिन यदि व्यवस्थापक नियमित रूप से योगदानकर्ता सामग्री का पूर्वावलोकन करते हैं तो व्यावहारिक प्रभाव अधिक हो सकता है।.
19. एक्सेस लाइनों में शामिल हैं
इन सामान्य संकेतों के लिए अपनी साइट और लॉग की खोज करें। ये संपूर्ण नहीं हैं लेकिन कई मामलों को पकड़ लेंगे।.
