एक उच्च-गंभीरता वाला स्थानीय फ़ाइल समावेश (LFI) सुरक्षा दोष प्रकट हुआ है जो वेल्डन वर्डप्रेस थीम (संस्करण ≤ 2.4) को प्रभावित करता है। इसे CVE-2026-28118 के रूप में ट्रैक किया गया है और इसे 8.1 का CVSS बेस स्कोर दिया गया है, यह कमजोरी अनधिकृत हमलावरों को एक कमजोर साइट पर स्थानीय फ़ाइलें शामिल करने और उनके सामग्री को उजागर करने की अनुमति देती है। स्थानीय फ़ाइलों में जानकारी (डेटाबेस क्रेडेंशियल्स, API कुंजी, कॉन्फ़िगरेशन विवरण) पूर्ण समझौते की ओर ले जा सकती है — प्रभावित थीम का उपयोग करने वाली किसी भी साइट के लिए तत्काल कार्रवाई की आवश्यकता है।.

यह सलाह एक व्यावहारिक, हांगकांग सुरक्षा प्रैक्टिशनर की टोन में लिखी गई है: संक्षिप्त, प्राथमिकता दी गई, और तेजी से रोकथाम के बाद सत्यापन और पुनर्प्राप्ति पर केंद्रित। इसे अपनी संचालन या होस्टिंग टीमों के साथ साझा करें और यदि आप कई साइटों का प्रबंधन करते हैं तो “तत्काल शमन” कदमों को प्राथमिकता दें।.

प्रकटीकरण का सारांश

• प्रभावित सॉफ़्टवेयर: वेल्डन वर्डप्रेस थीम
• कमजोर संस्करण: ≤ 2.4
• सुरक्षा कमजोरी का प्रकार: स्थानीय फ़ाइल समावेश (LFI)
• CVE: CVE-2026-28118
• CVSS: 8.1 (उच्च)
• आवश्यक विशेषाधिकार: कोई नहीं (बिना प्रमाणीकरण)
• प्रभाव: मनमाना स्थानीय फ़ाइल पढ़ना; क्रेडेंशियल्स और संवेदनशील फ़ाइलों का संभावित प्रकटीकरण; सर्वर कॉन्फ़िगरेशन के आधार पर पूर्ण अधिग्रहण की संभावना
• रिपोर्ट किया गया: ट्रान गुयेन बाओ खान्ह (19 अगस्त 2025 को रिपोर्ट किया गया; सार्वजनिक प्रकटीकरण 26 फरवरी 2026)

वर्डप्रेस साइटों के लिए LFI इतना खतरनाक क्यों है

स्थानीय फ़ाइल समावेश तब होता है जब कोड उपयोगकर्ता द्वारा प्रदान किए गए इनपुट का उपयोग करके एक स्थानीय फ़ाइल के लिए एक पथ बनाता है बिना उचित सत्यापन के, फिर उस फ़ाइल को शामिल या पढ़ता है। PHP में, include(), require(), include_once(), और require_once() जैसी फ़ंक्शन सामान्य विफलता बिंदु हैं — विशेष रूप से उन थीम और प्लगइन्स में जो क्वेरी पैरामीटर के आधार पर टेम्पलेट भागों या फ़ाइलों को लोड करते हैं।.

वर्डप्रेस के लिए परिणाम गंभीर हैं:

• wp-config.php अक्सर डेटाबेस क्रेडेंशियल्स और सॉल्ट्स को शामिल करता है; इसे पढ़ने से हमलावर को पूर्ण डेटाबेस पहुंच मिल सकती है।.
• अन्य फ़ाइलों में API कुंजी, SMTP क्रेडेंशियल्स, या स्वामित्व डेटा हो सकता है।.
• PHP स्ट्रीम रैपर (php://filter, data://) या सुलभ अपलोड स्थान एक हमलावर को फ़ाइलें पढ़ने से कोड निष्पादित करने के लिए बढ़ाने में मदद कर सकते हैं।.
• यह दोष अनधिकृत है, इसलिए बड़े पैमाने पर स्वचालित स्कैनिंग और शोषण की संभावना है; अवसरवादी हमलावरों द्वारा तेजी से स्कैनिंग की उम्मीद की जाती है।.

हमलावर आमतौर पर LFI का शोषण कैसे करते हैं (उच्च स्तर)

एक हमलावर एक include() कॉल में उपयोग किए जाने वाले पैरामीटर को खोजता है (उदाहरण: include( $template_path . $_GET[‘page’] . ‘.php’ ); )। बिना सत्यापन के, हमलावर निर्देशिका ट्रैवर्सल पेलोड (../../../../wp-config.php) भेज सकता है या मनमाने स्थानीय फ़ाइलों को पढ़ने के लिए PHP स्ट्रीम रैपर (php://filter) का उपयोग कर सकता है। LFI को अक्सर दूरस्थ कोड निष्पादन (RCE) प्राप्त करने के लिए जोड़ा जा सकता है, लिखने योग्य अपलोड क्षेत्रों या लॉग फ़ाइलों को उजागर करके।.

हम यहां कार्यशील एक्सप्लॉइट पेलोड प्रदान नहीं करते हैं; रक्षकों को नीचे सूचीबद्ध पैटर्न और संकेतों को पहचानने पर ध्यान केंद्रित करना चाहिए।.

हमले और समझौते के संकेत — किस पर ध्यान दें

वेब सर्वर एक्सेस लॉग, PHP त्रुटि लॉग, और किसी भी वर्डप्रेस लॉगिंग की निगरानी करें इन संकेतों के लिए:

1. क्वेरी स्ट्रिंग में निर्देशिका ट्रैवर्सल पैटर्न वाले अनुरोध:
   • अनकोडेड या कोडेड “../” अनुक्रम (जैसे, ..%2F, %2e%2e%2f)
   • जैसे दोहराए गए ट्रैवर्सल प्रयास ../../../../
2. संवेदनशील फ़ाइल नामों का संदर्भ देने वाले अनुरोध:
   • wp-config.php, wp-config.php.bak, .env, /etc/passwd, .htpasswd
3. सामान्य LFI पैरामीटर नामों का उपयोग करने वाले अनुरोध:
   • नामित पैरामीटर फ़ाइल, पृष्ठ, टेम्पलेट, इनक, पथ, मॉड्यूल
   • थीम एंडपॉइंट्स पर विविध ट्रैवर्सल पेलोड का विस्फोट
4. PHP स्ट्रीम रैपर पैटर्न का उपयोग:
   • php://filter, expect://, data:// क्वेरी पैरामीटर में
5. लिखने योग्य निर्देशिकाओं के तहत असामान्य फ़ाइलें या संशोधन:
   • में नए या संदिग्ध PHP/JS फ़ाइलें 16. WP क्रॉन में अप्रत्याशित अनुसूचित घटनाएँ जो अपरिचित कोड को निष्पादित करती हैं।, wp-content/themes//
   • अप्रत्याशित रूप से संशोधित टेम्पलेट या प्लगइन फ़ाइलें
6. असामान्य डेटाबेस गतिविधि: अप्रत्याशित व्यवस्थापक उपयोगकर्ता निर्माण, अजीब क्वेरी, या सामग्री इंजेक्शन।.

यदि आप इनमें से कोई भी संकेत पाते हैं, तो स्थिति को उच्च प्राथमिकता के रूप में मानें और नीचे दिए गए घटना प्रतिक्रिया चेकलिस्ट का पालन करें।.

तात्कालिक (घंटों) शमन - वर्गीकृत और व्यावहारिक कार्रवाई।

ये कदम गति और संभावित प्रभाव के अनुसार क्रमबद्ध हैं। यदि आप प्रभावित थीम चला रहे हैं या सुनिश्चित नहीं हैं तो इन्हें तुरंत करें।.

1. अस्थायी रूप से कमजोर थीम को निष्क्रिय करें
   • हमले की सतह को जल्दी हटाने के लिए एक मानक, बनाए रखा गया डिफ़ॉल्ट थीम पर स्विच करें।.
   • यदि स्विच करना संभव नहीं है, तो अन्य उपाय लागू करते समय साइट को रखरखाव मोड में रखें।.
2. फ़ाइल सिस्टम से कमजोर थीम को हटा दें या क्वारंटाइन करें
   • SFTP/SSH का उपयोग करते हुए, कमजोर थीम निर्देशिका का नाम बदलें या हटा दें wp-content/themes/ ताकि थीम कोड चलने से रोका जा सके।.
   • यदि आप जांच कर रहे हैं तो विश्लेषण के लिए एक ऑफ-सर्वर कॉपी रखें।.
3. वेब सर्वर पर संदिग्ध अनुरोधों को ब्लॉक करें
   • वेब सर्वर स्तर (nginx या Apache) पर निर्देशिका ट्रैवर्सल अनुक्रम और PHP स्ट्रीम रैपर वाले अनुरोधों को ब्लॉक करें। वैध ट्रैफ़िक को तोड़ने से बचने के लिए पहले किसी नियम का परीक्षण स्टेजिंग पर करें।.
   • उदाहरण nginx (संकल्पना):

   if ($request_uri ~* "(%2e|%2f|\.\./|\.\.\\)") {
       return 403;
   }
   if ($request_uri ~* "php://|data://|expect://|file://") {
       return 403;
   }

   • उदाहरण Apache (.htaccess) — wp-config तक सीधी पहुंच को अस्वीकार करें और संदिग्ध क्वेरी स्ट्रिंग्स को ब्लॉक करें:

   <Files "wp-config.php">
     Order allow,deny
     Deny from all
   </Files>
   
   <IfModule mod_rewrite.c>
     RewriteEngine On
     RewriteCond %{QUERY_STRING} (\.\.|php://|data://) [NC,OR]
     RewriteCond %{REQUEST_URI} (\.\.|php://|data://) [NC]
     RewriteRule ^.* - [F,L]
   </IfModule>

4. फ़ाइल अनुमतियों और स्वामित्व को मजबूत करें (त्वरित जांच)
   • सुनिश्चित करें wp-config.php दुनिया के लिए पठनीय नहीं है: उपयोग करें 400 या 440 जहाँ उपयुक्त।.
   • मानक सेटिंग्स: निर्देशिकाएँ 755, फ़ाइलें 644 (संवेदनशील फ़ाइलों को और अधिक कड़ा करें)।.
   • उचित स्वामित्व सुनिश्चित करें और यदि आपका होस्ट विभाजन का समर्थन करता है तो साइट फ़ाइलों को संशोधित करने में सक्षम उसी उपयोगकर्ता के रूप में वेब सर्वर प्रक्रियाओं को चलाने से बचें।.
5. जहां संभव हो, खतरनाक PHP रैपर और फ़ंक्शंस को निष्क्रिय करें
   • में php.ini, सेट करें allow_url_fopen = बंद 8. और allow_url_include = बंद.
   • यदि आवश्यक न हो तो जोखिम भरे कार्यों को अक्षम करने पर विचार करें: exec, shell_exec, सिस्टम, passthru, proc_open, पॉपेन. उदाहरण:

   disable_functions = exec,shell_exec,system,passthru,proc_open,popen

6. फ़ाइल लोड के लिए उपयोगकर्ता-प्रदत्त पैरामीटर को ब्लॉक करें
   • यदि थीम एंडपॉइंट स्वीकार करते हैं फ़ाइल या टेम्पलेट पैरामीटर, उन पैरामीटर को ब्लॉक या मान्य करने के लिए अस्थायी सर्वर-साइड नियम जोड़ें जब तक कि आप पैच नहीं कर सकें।.

मध्यम अवधि (दिन) सुधार और सत्यापन

1. थीम को बदलें या अपडेट करें
   • CVE-2026-28118 को संबोधित करने वाले आधिकारिक पैच किए गए Welldone रिलीज़ के लिए जांचें। जब उपलब्ध हो, तो स्टेजिंग पर परीक्षण करें और फिर उत्पादन में लागू करें।.
   • यदि कोई पैच मौजूद नहीं है, तो एक बनाए रखे गए विकल्प के साथ थीम को बदलने पर विचार करें या एक बनाए रखे गए बेस थीम का कस्टम चाइल्ड बनाएं।.
2. वेबशेल और संदिग्ध फ़ाइलों के लिए अपने फ़ाइल सिस्टम का ऑडिट करें
   • स्कैन 16. WP क्रॉन में अप्रत्याशित अनुसूचित घटनाएँ जो अपरिचित कोड को निष्पादित करती हैं।, थीम और प्लगइन निर्देशिकाओं में अप्रत्याशित PHP फ़ाइलों, हाल की संशोधनों, या ज्ञात IOC पैटर्न के लिए।.
3. क्रेडेंशियल और रहस्यों को घुमाएँ
   • सभी वर्डप्रेस प्रशासन पासवर्ड, डेटाबेस क्रेडेंशियल, API कुंजी, और किसी भी टोकन को घुमाएं जो उजागर हो सकते हैं।.
   • बैकअप से पुनर्स्थापित करने के बाद, हमेशा क्रेडेंशियल्स को घुमाएं।.
4. सर्वर और एप्लिकेशन लॉग की समीक्षा करें
   • शोषण के संकेतों के लिए प्रकटीकरण तिथि से पहले और बाद में लॉग खोजें। यदि आवश्यक हो, तो फोरेंसिक्स के लिए प्रासंगिक लॉग को एक सुरक्षित स्थान पर निर्यात करें।.
5. पूर्ण साइट मैलवेयर स्कैन और अखंडता जांच
   • वेबशेल, बैकडोर, और संशोधित कोर फ़ाइलों को खोजने के लिए मैलवेयर स्कैनर और फ़ाइल-अखंडता जांच चलाएं। ज्ञात-भले स्रोतों के साथ कोड की तुलना करें।.
6. यदि समझौता पुष्टि हो जाए तो साफ बैकअप से पुनर्स्थापित करें
   • यदि आप एक समझौता किए गए साइट को आत्मविश्वास से साफ नहीं कर सकते हैं, तो समझौते के पहले के सबसे प्रारंभिक संकेतों से लिया गया ज्ञात-भला बैकअप से पुनर्स्थापित करें। पुनर्स्थापना के बाद, हार्डनिंग लागू करें और क्रेडेंशियल्स को घुमाएं।.

दीर्घकालिक रोकथाम और हार्डनिंग (सप्ताह / चल रहा)

• न्यूनतम विशेषाधिकार का सिद्धांत: सुनिश्चित करें कि फ़ाइल और डेटाबेस उपयोगकर्ताओं के पास केवल आवश्यक अनुमतियाँ हों।.
• वातावरण को अलग करें: स्टेजिंग और उत्पादन के बीच अलग क्रेडेंशियल्स और अलगाव का उपयोग करें।.
• निरंतर निगरानी और अलर्टिंग: लॉग को केंद्रीकृत करें और निर्देशिका ट्रैवर्सल प्रयासों, संदर्भों के लिए अलर्ट जोड़ें wp-config.php, और त्रुटियों में असामान्य स्पाइक्स के लिए।.
• नियमित भेद्यता स्कैनिंग और कोड समीक्षाएँ: स्वचालित स्कैन के साथ-साथ थीम और प्लगइन कोड की समय-समय पर मैनुअल समीक्षाएँ।.
• नियमित बैकअप और परीक्षण किए गए पुनर्स्थापन: ऑफ-साइट, संस्करणित बैकअप और नियमित पुनर्स्थापन परीक्षण।.
• वर्डप्रेस हार्डनिंग: कोर, प्लगइन्स और थीम को अपडेट रखें; अप्रयुक्त घटकों को हटा दें; फ़ाइल संपादकों को अक्षम करें; सुरक्षा हेडर लागू करें और HTTPS को लागू करें।.

सुझाए गए पहचान और रोकथाम नियम (सैद्धांतिक)

इन पैटर्न को अपने WAF या सर्वर नियम सेट में अनुकूलित करें और झूठे सकारात्मक से बचने के लिए पूरी तरह से परीक्षण करें। ये नियम निर्माण के लिए सैद्धांतिक regex स्निप्पेट हैं:

• निर्देशिका ट्रैवर्सल को ब्लॉक करें: (\.\./|\.\.\\|%2e%2e%2f|%2e%2e%5c)
• PHP स्ट्रीम रैपर को ब्लॉक करें: (php://|data://|expect://|zip://|phar://)
• संवेदनशील फ़ाइलों के संदर्भों को ब्लॉक करें: (wp-config\.php|/etc/passwd|/proc/self/environ|\.env|\.htpasswd)
• लंबे एन्कोडेड अनुक्रमों को ब्लॉक करें जो अक्सर अस्पष्टता के लिए उपयोग किए जाते हैं: (%[0-9A-Fa-f]{2}){6,}

उदाहरण स्यूडो-नियम (WAF-agnostic): यदि एक अनुरोध क्वेरी स्ट्रिंग किसी भी से मेल खाती है:

• (\.\./|\.\.\\|%2e%2e%2f|%2e%2e%5c) या
• (php://|data://|expect://) या
• (wp-config\.php|/etc/passwd|\.env)

फिर अनुरोध को ब्लॉक करें (HTTP 403) और विवरण लॉग करें। झूठे सकारात्मक को कम करने के लिए संभावित अंत बिंदुओं पर नियमों का दायरा।.

यदि आपकी साइट से समझौता किया गया है - घटना प्रतिक्रिया चेकलिस्ट

1. साइट को ऑफलाइन करें (रखरखाव मोड) या होस्ट को अलग करें।.
2. फोरेंसिक विश्लेषण के लिए साइट और लॉग का पूरा स्नैपशॉट लें।.
3. सभी पासवर्ड बदलें: व्यवस्थापक उपयोगकर्ता, डेटाबेस, FTP/SFTP, नियंत्रण पैनल।.
4. API कुंजी और टोकन को घुमाएं जो सर्वर पर संग्रहीत हो सकते हैं।.
5. दुर्भावनापूर्ण फ़ाइलों और वेबशेल को स्कैन और हटा दें; यदि सुनिश्चित नहीं हैं, तो एक साफ बैकअप से पुनर्स्थापित करें।.
6. डेटाबेस की अखंडता की पुष्टि करें और अनधिकृत व्यवस्थापक उपयोगकर्ताओं या इंजेक्टेड सामग्री को हटा दें।.
7. हमले के मार्ग और किसी भी पार्श्व आंदोलन का निर्धारण करने के लिए एक पूर्ण ऑडिट करें।.
8. यदि आवश्यक हो तो ज्ञात-भले स्रोतों से वातावरण का पुनर्निर्माण करें; यदि बैकडोर बने रह सकते हैं तो केवल “साफ़ करने” पर भरोसा न करें।.

डेवलपर और सिस्टम प्रशासक तकनीकी नोट

इस प्रकार की भेद्यता आमतौर पर फ़ाइल सिस्टम पथों में उपयोगकर्ता इनपुट के असुरक्षित संयोजन से उत्पन्न होती है। इन सुरक्षित प्रथाओं का पालन करें:

• अनुमति प्राप्त मानों की श्वेतसूची के बिना फ़ाइल नाम बनाने के लिए कभी भी कच्चे उपयोगकर्ता इनपुट का उपयोग न करें।.
• मैपिंग का उपयोग करें: पूर्ण पथ स्वीकार करने के बजाय संक्षिप्त कुंजियों को अनुमति प्राप्त फ़ाइल नामों से मैप करें।.
• इसे शामिल/आवश्यक करने से पहले किसी भी पथ को सामान्यीकृत और मान्य करें।.
• यदि उपयोगकर्ता सामग्री टेम्पलेट चयन निर्धारित करती है, तो अपने कोडबेस में मौजूद विश्वसनीय सेट तक विकल्पों को सीमित करें।.

उदाहरण सुरक्षित पैटर्न (छद्म-कोड):

$allowed_templates = ['home', 'archive', 'single'];

व्यावहारिक सर्वर स्निपेट (सारांश)

उत्पादन में तैनात करने से पहले इन्हें एक स्टेजिंग होस्ट पर परीक्षण करें:

सुरक्षा करें wp-config.php (Apache .htaccess):

<files wp-config.php>
  order allow,deny
  deny from all
</files>

Nginx नियम php wrapper प्रयासों को ब्लॉक करने के लिए (संकल्पना):

if ($query_string ~* "php://|data://|%2e%2e|(\.\./)") {
  return 403;
}

PHP ini हार्डनिंग (उदाहरण):

allow_url_fopen = बंद

अंतिम क्रियाएँ — अगले 24–72 घंटों में क्या करना है

1. सूची: सभी साइटों की पहचान करें जो Welldone थीम ≤ 2.4 चला रही हैं।.
2. कम से कम एक तात्कालिक उपाय लागू करें:
   • थीम फ़ोल्डर को बंद करें या नाम बदलें, या
   • सर्वर स्तर पर शोषण पैटर्न को ब्लॉक करें, और
   • लॉक डाउन wp-config.php पहुँच।.
3. ऊपर वर्णित संकेतकों के लिए निरंतर स्कैनिंग और निगरानी सक्षम करें।.
4. यदि आप ग्राहकों की मेज़बानी करते हैं, तो हितधारकों को सूचित करें और प्रभावित किरायेदारों में उपायों को तुरंत लागू करें।.

क्या आपको पेशेवर सहायता की आवश्यकता है?

यदि आप कई WordPress इंस्टॉलेशन का प्रबंधन करते हैं या इन-हाउस घटना प्रतिक्रिया क्षमता की कमी है, तो एक प्रतिष्ठित घटना प्रतिक्रिया प्रदाता या आपके होस्टिंग प्रदाता की सुरक्षा टीम से संपर्क करें। किसी भी आक्रामक सफाई से पहले containment, log capture, और forensics को प्राथमिकता दें जो सबूतों को नष्ट कर सकता है।.