CVE-2026-1557: अनधिकृत पथTraversal → WP रिस्पॉन्सिव इमेजेस में मनमाना फ़ाइल डाउनलोड (<= 1.0)

दिनांक: 26 फरवरी, 2026  |  गंभीरता: उच्च (CVSS 7.5)  |  प्रभावित संस्करण: WP रिस्पॉन्सिव इमेजेस ≤ 1.0

लेखक: हांगकांग के सुरक्षा विशेषज्ञ — वर्डप्रेस इंस्टॉलेशन संभालने वाले साइट मालिकों और डेवलपर्स के लिए तत्काल संचालन सलाह।.

“WP रिस्पॉन्सिव इमेजेस” प्लगइन (संस्करण 1.0 तक) में हाल ही में प्रकट हुई एक कमजोरियों के कारण एक अनधिकृत हमलावर को प्लगइन के छवि स्रोत पैरामीटर के हैंडलिंग में पथTraversal वेक्टर का उपयोग करने की अनुमति मिलती है ताकि वर्डप्रेस साइट से मनमाने फ़ाइलों को पढ़ा जा सके। यह संवेदनशील फ़ाइलों को उजागर कर सकता है जैसे wp-config.php, बैकअप, निजी अपलोड, और अन्य कॉन्फ़िगरेशन फ़ाइलें।.

कार्यकारी सारांश (आपको अब क्या जानने की आवश्यकता है)

• यह क्या है: प्लगइन कोड में एक अनधिकृत पथTraversal की कमजोरी है जो एक छवि स्रोत पैरामीटर को संसाधित करती है, जिससेTraversal की अनुमति मिलती है जैसे ../../ इच्छित निर्देशिका के बाहर फ़ाइलें लाने के लिए।.
• खतरा क्या है: मनमाना फ़ाइल डाउनलोड। उजागर फ़ाइलों में डेटाबेस क्रेडेंशियल, बैकअप, .env फ़ाइलें, निजी कुंजी, और अन्य रहस्य शामिल हो सकते हैं।.
• शोषण की आसानी: उच्च — कोई प्रमाणीकरण आवश्यक नहीं, सरल पेलोड, स्वचालित स्कैनरों और सामूहिक शोषण के लिए आकर्षक।.
• तात्कालिक कार्रवाई: यदि प्लगइन मौजूद है, तो इसे अक्षम करें या हटा दें जब तक कि एक पैच किया गया संस्करण उपलब्ध न हो। परिधि परTraversal-शैली के अनुरोधों को अवरुद्ध करें, फ़ाइल अनुमतियों को मजबूत करें, और सार्वजनिक वेब निर्देशिकाओं से संवेदनशील फ़ाइलें हटा दें।.
• यदि शोषित किया गया: उल्लंघन के रूप में मानें: लॉग को संरक्षित करें, क्रेडेंशियल्स को घुमाएँ, पूर्ण फोरेंसिक और मैलवेयर निरीक्षण करें, और आवश्यकतानुसार ज्ञात-साफ बैकअप से पुनर्स्थापित करें।.

यह कमजोरी कैसे काम करती है (तकनीकी लेकिन संक्षिप्त)

प्लगइन एक स्वीकार करता है स्रोत पैरामीटर का उपयोग करके इसे डिस्क से फ़ाइलें पढ़ने और लौटाने के लिए उपयोग किया जाता है। यदि वह इनपुट सही ढंग से मानकीकृत और मान्य नहीं है, तो एक आधार पथ के साथ मान को जोड़ने से एक हमलावर को ट्रैवर्सल अनुक्रमों का उपयोग करने की अनुमति मिलती है (उदाहरण के लिए, ../ या एन्कोडेड रूप जैसे %2e%2e%2f) इच्छित निर्देशिका से बाहर निकलने और वेब सर्वर उपयोगकर्ता के लिए सुलभ मनमाने फ़ाइलों तक पहुँचने के लिए।.

यह क्यों खतरनाक है:

• वेब सर्वर प्रक्रिया अक्सर उन फ़ाइलों को पढ़ने की अनुमति रखती है जिनमें रहस्य होते हैं (जैसे, wp-config.php, निर्यातित SQL फ़ाइलें)।.
• हमलावर इस सटीक पैटर्न के लिए सामूहिक स्कैन कर सकते हैं और कई साइटों पर स्क्रिप्ट शोषण कर सकते हैं।.
• प्राप्त फ़ाइल सामग्री का उपयोग बढ़ाने के लिए किया जा सकता है: डेटाबेस क्रेडेंशियल, API टोकन, या कुंजी आगे के समझौते की ओर ले जा सकती हैं।.

दुरुपयोग को सक्षम करने से बचने के लिए यहां कोई प्रमाण-ऑफ-कल्पना पेलोड प्रकाशित नहीं किए गए हैं। इस सलाह का शेष भाग पहचान, शमन और सुरक्षित सुधारों पर केंद्रित है।.

प्रभावित घटक और सामान्य अनुरोध पैटर्न

प्रभावित: प्लगइन एंडपॉइंट जो एक छवि स्वीकार करते हैं स्रोत (क्वेरी स्ट्रिंग या फ़ॉर्म फ़ील्ड) और फ़ाइलें प्रदान करते हैं।.

एक्सेस लॉग में संदिग्ध अनुरोधों पर नज़र रखें, उदाहरण के लिए:

• अनुरोध जो शामिल हैं src=../../ या src=%2e%2e%2f.
• फ़etch करने का प्रयास करने वाले अनुरोध wp-config.php, database.sql, .env, id_rsa, या /etc/passwd.
• लंबे ट्रैवर्सल अनुक्रमों या कई एन्कोडिंग के साथ प्लगइन PHP एंडपॉइंट के लिए अनुरोध।.

संकेतक:

• प्लगइन एंडपॉइंट के लिए 200 प्रतिक्रियाएँ जो फ़ाइल सामग्री नहीं लौटानी चाहिए।.
• असामान्य प्रतिक्रिया आकार या अप्रत्याशित सामग्री प्रकार (जैसे, पाठ/सादा एक .php फ़ाइल के लिए)।.
• समान आईपी से विभिन्न संवेदनशील फ़ाइल नामों के लिए बार-बार अनुरोध।.

वास्तविक दुनिया के प्रभाव परिदृश्य

1. डेटाबेस क्रेडेंशियल्स का खुलासा: निकालना wp-config.php DB क्रेडेंशियल्स को प्रकट कर सकता है और डेटा निकासी या हेरफेर को सक्षम कर सकता है।.
2. बैकअप का प्रदर्शन: वेब रूट में बैकअप चुराए जा सकते हैं, जो पूरे साइट सामग्री और डेटाबेस डंप प्रदान करते हैं।.
3. API कुंजी या टोकन की खोज: चुराए गए टोकन का बाहरी सेवाओं के खिलाफ दुरुपयोग किया जा सकता है।.
4. श्रृंखलाबद्ध हमले: फ़ाइल का खुलासा अन्य दोषों के साथ मिलकर दूरस्थ कोड निष्पादन या पार्श्व पिवटिंग का कारण बन सकता है।.

साइट मालिकों के लिए तात्कालिक शमन कदम (व्यावहारिक, चरण-दर-चरण)

इन चरणों का तुरंत पालन करें, क्रम में:

1. प्लगइन की पहचान करें: वर्डप्रेस प्रशासन > प्लगइन्स में, “WP Responsive Images” की तलाश करें। फ़ाइल सिस्टम की भी जांच करें: /wp-content/plugins/wp-responsive-images.
2. प्लगइन को निष्क्रिय करें: निष्क्रिय करने के लिए प्रशासन UI का उपयोग करें। यदि प्रशासन उपलब्ध नहीं है, तो SSH/FTP के माध्यम से प्लगइन फ़ोल्डर का नाम बदलें (उदाहरण के लिए, जोड़ें .अक्षम) — वर्डप्रेस इसे स्वचालित रूप से निष्क्रिय कर देगा।.
3. कमजोर एंडपॉइंट्स को ब्लॉक करें: यदि आप तुरंत प्लगइन को हटा नहीं सकते हैं, तो वेब सर्वर पर इसके वितरण स्क्रिप्ट को अवरुद्ध करें (.htaccess, nginx नियम) या परिधीय नियंत्रण के माध्यम से। किसी भी अनुरोध को अस्वीकार करें जिसका क्वेरी स्ट्रिंग यात्रा टोकन शामिल करता है।.
4. यात्रा को अवरुद्ध करने के लिए अस्थायी नियम स्रोत:

   उन अनुरोधों को ब्लॉक करें जिनमें स्रोत उन पैरामीटर में जो शामिल हैं ../ या एन्कोडेड समकक्ष जैसे %2e%2e%2f. उदाहरण वैकल्पिक regex (लागू करने से पहले परीक्षण करें):

   (?i)(src=.*(\.\./|%2e%2e%2f|%2e%2e\\))

   झूठे सकारात्मक से बचने के लिए सावधानी से लागू करें। यदि संभव हो तो नियम को प्लगइन पथ तक सीमित करें।.

5. शोषण के संकेतों के लिए स्कैन करें: संवेदनशील फ़ाइल नामों का संदर्भ देने वाले यात्रा प्रयासों और अनुरोधों के लिए एक्सेस लॉग की जांच करें। अप्रत्याशित डाउनलोड, नए फ़ाइलें, संदिग्ध क्रोन कार्य, वेब शेल, या स्वामित्व/अनुमति परिवर्तनों की जांच करें।.
6. फ़ाइल एक्सेस को मजबूत करें: स्थानांतरित करें wp-config.php यदि होस्ट अनुमति देता है तो वेब रूट के ऊपर। सुनिश्चित करें कि बैकअप सार्वजनिक निर्देशिकाओं में संग्रहीत नहीं हैं। फ़ाइल अनुमतियों को कड़ा करें ताकि केवल आवश्यक उपयोगकर्ता रहस्यों को पढ़ सकें।.
7. रहस्यों को घुमाएं: यदि आपको डेटा निकासी का संदेह है, तो तुरंत डेटाबेस पासवर्ड, एपीआई कुंजी और व्यवस्थापक क्रेडेंशियल बदलें।.
8. लॉग की निगरानी और रखरखाव करें: जहां संभव हो, कम से कम 90 दिनों के लिए वेब सर्वर और एप्लिकेशन लॉग रखें। प्लगइन एंडपॉइंट्स के खिलाफ बार-बार यात्रा प्रयासों पर अलर्ट करें।.
9. अपडेट या हटाएं: जब प्लगइन लेखक एक पैच जारी करता है, तो तुरंत अपडेट करें। यदि प्लगइन छोड़ दिया गया है, तो इसे हटा दें और एक बनाए रखा विकल्प या सुरक्षित कस्टम कार्यान्वयन के साथ बदलें।.

प्लगइन डेवलपर्स के लिए सुरक्षित कोडिंग मार्गदर्शन (इसे सही तरीके से कैसे ठीक करें)

यदि आपका प्लगइन उपयोगकर्ता इनपुट के आधार पर डिस्क से फ़ाइलें प्रदान करता है, तो डिफ़ॉल्ट रूप से अस्वीकार करने के मॉडल का पालन करें: मानकीकरण, मान्यता और प्रतिबंध।.

प्रमुख कदम:

1. मानक वास्तविक पथ जांच: अनुरोधित फ़ाइल का मानक वास्तविक पथ निकालें और सुनिश्चित करें कि यह अनुमत आधार निर्देशिका के भीतर है।.

<?php

• फ़ाइल कार्यों में सीधे कच्चे उपयोगकर्ता-नियंत्रित फ़ाइल नामों का उपयोग करने से बचें बिना स्वच्छता के।.
• एन्कोडिंग को सामान्य करें और एन्कोडेड यात्रा टोकनों को जल्दी अस्वीकार करें (जैसे, %2e%2e%2f).
• आंतरिक पहचानकर्ताओं या व्हाइटलिस्ट (आईडी, DB मैपिंग, मैनिफेस्ट) को मनमाने फ़ाइल पथों के बजाय प्राथमिकता दें।.
• MIME जांच लागू करें, उपयुक्त सेट करें सामग्री-प्रकार, और त्रुटि संदेशों में फ़ाइल सिस्टम पथों को प्रकट करने से बचें।.
• बाद में विश्लेषण के लिए IP और उपयोगकर्ता एजेंट के साथ अस्वीकृत यात्रा प्रयासों को लॉग करें।.

WAF और परिधीय नियम उदाहरण (प्रशासकों के लिए)

नीचे शोषण प्रयासों को रोकने में मदद करने के लिए वैचारिक पैटर्न हैं। अपने बुनियादी ढांचे के अनुसार अनुकूलित करें और झूठे सकारात्मक से बचने के लिए पूरी तरह से परीक्षण करें।.

यात्रा करने वाले क्वेरी स्ट्रिंग को ब्लॉक करें

• सामान्य यात्रा: ../
• एन्कोडेड: %2e%2e%2f, %2e%2e%5c, डबल-एन्कोडेड रूपांतर जैसे %252e%252e%252f

(\.\./|\.\.\\|%2e%2e%2f|%2e%2e%5c|%252e%252e%252f)

उदाहरण नियम लॉजिक:

यदि URI में शामिल है /wp-content/plugins/wp-responsive-images/ और क्वेरी स्ट्रिंग में शामिल है src= और क्वेरी स्ट्रिंग यात्रा regex से मेल खाती है → BLOCK.

संवेदनशील फ़ाइल नामों के लिए अनुरोधों को ब्लॉक करें

(wp-config\.php|\.env|id_rsa|database(\.sql|\.sql\.gz)|backup|dump)

दोहराने वाले अपराधियों के लिए दर सीमित करने और अस्थायी आईपी ब्लॉकिंग पर भी विचार करें। पहले पहचान मोड में परीक्षण करें, फिर जब विश्वास हो तो ब्लॉकिंग पर जाएं।.

सर्वर और वर्डप्रेस कॉन्फ़िगरेशन को मजबूत करना

• फ़ाइल अनुमतियाँ: सेट करें wp-config.php जोड़कर 440 या 400 यदि संभव हो; विश्व-पठनीय फ़ाइलों से बचें।.
• बैकअप को वेब रूट से हटा दें; बैकअप को सुरक्षित, पहुँच-नियंत्रित स्थानों में संग्रहित करें।.
• Apache/Nginx पर निर्देशिका सूचीकरण को अक्षम करें।.
• सुनिश्चित करें कि PHP त्रुटियाँ सार्वजनिक रूप से प्रदर्शित नहीं होतीं; इसके बजाय फ़ाइलों में लॉग करें।.
• वर्डप्रेस, थीम और प्लगइन्स को अपडेट रखें; अप्रयुक्त या परित्यक्त प्लगइन्स को हटा दें।.
• डेटाबेस और फ़ाइल खातों के लिए न्यूनतम विशेषाधिकार का सिद्धांत लागू करें; मल्टी-साइट वातावरण के लिए होस्ट-स्तरीय पृथक्करण का उपयोग करें।.

यदि आपकी वेबसाइट से समझौता किया गया है — पुनर्प्राप्ति कदम

1. साइट को ऑफ़लाइन करें या डेटा लीक को रोकने के लिए होस्ट को अलग करें।.
2. परिवर्तन करने से पहले लॉग को संरक्षित करें और फोरेंसिक प्रतियां बनाएं।.
3. क्रेडेंशियल्स को घुमाएँ: डेटाबेस पासवर्ड, वर्डप्रेस व्यवस्थापक क्रेडेंशियल्स, एपीआई कुंजी, और सर्वर पर पाए गए कोई भी टोकन।.
4. बैकडोर और वेब शेल के लिए सिग्नेचर और व्यवहार-आधारित विधियों का उपयोग करके स्कैन करें। हाल ही में संशोधित फ़ाइलों, अस्पष्ट कोड (base64/eval), और अप्रत्याशित क्रॉन कार्यों की तलाश करें।.
5. समझौता की गई फ़ाइलों को स्वच्छ प्रतियों से बदलें या विश्वसनीय बैकअप से पुनर्स्थापित करें।.
6. पहुँच टोकन को फिर से बनाएं और साइट से जुड़े बाहरी सेवाओं को सुरक्षित करें।.
7. एक पूर्ण सुरक्षा ऑडिट करें और, यदि आवश्यक हो, तो पेशेवर घटना प्रतिक्रिया में संलग्न करें।.

पहचान: लॉग और टेलीमेट्री में क्या देखना है

• लॉग प्रविष्टियों तक पहुँच के साथ src= और यात्रा अनुक्रम (सादा या प्रतिशत-कोडित)।.
• ज्ञात संवेदनशील फ़ाइल नामों को लक्षित करने वाले अनुरोधों के लिए सफल 200 प्रतिक्रियाएँ।.
• प्लगइन एंडपॉइंट्स से नए या असामान्य फ़ाइल डाउनलोड।.
• प्लगइन एंडपॉइंट्स के खिलाफ ट्रैफ़िक स्पाइक्स या समान आईपी रेंज से बार-बार प्रयास।.
• मैलवेयर स्कैनर अलर्ट जो निकाले गए या संदिग्ध फ़ाइल सामग्री का संदर्भ देते हैं।.

जिम्मेदार प्रकटीकरण और डेवलपर मार्गदर्शन

प्लगइन डेवलपर्स को चाहिए:

• यात्रा को रोकने के लिए कैनोनिकलाइजेशन और सख्त निर्देशिका जांच (रियलपाथ-आधारित) का उपयोग करें।.
• इनपुट को साफ़ और सामान्य करें; एन्कोडेड यात्रा टोकन को जल्दी अस्वीकार करें।.
• रिग्रेशन को रोकने के लिए पथ यात्रा पैटर्न के लिए यूनिट परीक्षण और फज़िंग केस जोड़ें।.
• उपयोगकर्ताओं को तुरंत प्रतिक्रिया देने के लिए एक स्पष्ट सुरक्षा संपर्क और अद्यतन समयरेखा प्रदान करें।.
• सुधार जारी करते समय, उपयोगकर्ताओं के लिए स्पष्ट अपग्रेड निर्देश और शमन मार्गदर्शन प्रदान करें जो तुरंत पैच नहीं कर सकते।.

व्यावहारिक चेकलिस्ट - टीमों के लिए तात्कालिक कार्रवाई

साइट के मालिकों/ऑपरेटरों के लिए

• जांचें कि WP उत्तरदायी छवियाँ स्थापित हैं या नहीं।.
• यदि मौजूद हो तो प्लगइन को निष्क्रिय/हटाएँ।.
• प्लगइन को लक्षित करने वाले यात्रा पेलोड को ब्लॉक करने के लिए परिधीय नियम लागू करें।.
• लॉग स्कैन करें और यदि संदिग्ध गतिविधि पाई जाती है तो हितधारकों को सूचित करें।.
• सार्वजनिक वेब निर्देशिकाओं से बैकअप और संवेदनशील फ़ाइलें हटा दें।.
• यदि निकासी का सबूत है तो क्रेडेंशियल्स को घुमाएँ।.

डेवलपर्स और रखरखाव करने वालों के लिए

• रियलपाथ-आधारित कैनोनिकलाइजेशन लागू करें और डिफ़ॉल्ट रूप से फ़ाइल सर्विंग को अस्वीकार करें।.
• इनपुट को सामान्य करें और एन्कोडेड यात्रा टोकन को अस्वीकार करें।.
• पथ यात्रा मामलों के लिए यूनिट परीक्षण जोड़ें।.
• एक स्थिर प्लगइन रिलीज़ प्रदान करें और स्पष्ट अपग्रेड मार्गदर्शन दें।.

सुरक्षा टीमों के लिए

• वेक्टर को ब्लॉक करने के लिए परिधीय नियम लागू करें और प्रयासों की निगरानी करें।.
• शोषण प्रयासों और असामान्य फ़ाइल पहुंच की निगरानी करें।.
• पूर्ण समझौता परिदृश्यों के लिए एक घटना प्रतिक्रिया प्लेबुक तैयार करें।.

अंतिम शब्द — जल्दी कार्य करें, पूरी तरह से करें

पथ यात्रा की कमजोरियाँ जो मनमाने फ़ाइल प्रकटीकरण की ओर ले जाती हैं, अत्यधिक हानिकारक होती हैं क्योंकि वे रहस्यों को उजागर करती हैं जो पूर्ण अधिग्रहण को सक्षम बनाती हैं। CVE-2026-1557 बिना प्रमाणीकरण के है और प्रयास करना तुच्छ है — हर कमजोर स्थापना को तत्काल समझें।.

व्यावहारिक तात्कालिक कदम: प्लगइन को हटा दें या निष्क्रिय करें, यात्रा को ब्लॉक करने के लिए परिधीय नियम लागू करें, लॉग की समीक्षा करें, सर्वर पर फ़ाइल पहुंच को मजबूत करें, और यदि समझौते का कोई संकेत है तो क्रेडेंशियल्स को घुमाएँ। प्रयासों को जल्दी से देखने के लिए सावधानीपूर्वक लॉगिंग और अलर्टिंग बनाए रखें।.

— हांगकांग सुरक्षा विशेषज्ञ