| प्लगइन का नाम | फ्रीस्पेस जोड़ें |
|---|---|
| कमजोरियों का प्रकार | CSRF |
| CVE संख्या | CVE-2026-6701 |
| तात्कालिकता | कम |
| CVE प्रकाशन तिथि | 2026-05-04 |
| स्रोत URL | CVE-2026-6701 |
क्रॉस-साइट अनुरोध धोखाधड़ी (CSRF) को स्टोर की गई क्रॉस-साइट स्क्रिप्टिंग (XSS) में जोड़ना addfreespace में <= 0.1.3 — वर्डप्रेस साइट मालिकों को क्या जानना और करना चाहिए
लेखक: हांगकांग के सुरक्षा विशेषज्ञ • दिनांक: 2026-05-05
हाल ही में प्रकट हुई एक भेद्यता जो addfreespace वर्डप्रेस प्लगइन (संस्करण <= 0.1.3) को प्रभावित करती है, उसे CVE-2026-6701 सौंपा गया है। यह समस्या एक CSRF (क्रॉस-साइट अनुरोध धोखाधड़ी) कमजोरी है जिसे एक स्टोर की गई XSS (क्रॉस-साइट स्क्रिप्टिंग) स्थिति में जोड़ा जा सकता है। हालांकि प्रकाशित CVSS अपेक्षाकृत कम है (4.3), व्यावहारिक जोखिम तब काफी अधिक हो सकता है जब हमलावर बड़े पैमाने पर फ़िशिंग या सामाजिक इंजीनियरिंग का उपयोग करके विशेषाधिकार प्राप्त उपयोगकर्ताओं को शामिल करते हैं।.
हांगकांग में आधारित एक सुरक्षा पेशेवर के रूप में, मैं स्पष्ट रूप से बताता हूं कि यह समस्या क्या अर्थ रखती है, इसे कैसे दुरुपयोग किया जा सकता है, संभावित शोषण का पता कैसे लगाया जा सकता है, और साइट मालिकों, प्रशासकों और होस्टिंग टीमों को क्या तत्काल कदम उठाने चाहिए।.
कार्यकारी सारांश (त्वरित निष्कर्ष)
- addfreespace प्लगइन (≤ 0.1.3) कुछ राज्य-परिवर्तक एंडपॉइंट्स को CSRF से सुरक्षित करने में विफल रहता है। यदि एक विशेषाधिकार प्राप्त उपयोगकर्ता (प्रशासक या समकक्ष) को एक दुर्भावनापूर्ण पृष्ठ पर जाने या एक तैयार लिंक पर क्लिक करने के लिए धोखा दिया जाता है, तो एक हमलावर साइट पर JavaScript पेलोड्स को स्टोर करने में सक्षम हो सकता है (स्टोर की गई XSS)।.
- एक प्रशासक संदर्भ में चलने वाली स्टोर की गई XSS खाता अधिग्रहण, स्थायी बैकडोर, डेटा चोरी और अन्य गंभीर परिणामों का कारण बन सकती है।.
- प्रकाशन के समय कोई विक्रेता-प्रदत्त पैच उपलब्ध नहीं है। तत्काल निवारण की सलाह दी जाती है।.
- तत्काल कदमों में प्लगइन को अक्षम या हटा देना, प्लगइन प्रशासन पृष्ठों तक पहुंच को प्रतिबंधित करना, फ़ायरवॉल या वर्चुअल पैच लागू करना, इंजेक्टेड स्क्रिप्ट और संदिग्ध डेटाबेस प्रविष्टियों के लिए स्कैन करना, और प्रशासनिक क्रेडेंशियल्स और रहस्यों को घुमाना शामिल हैं।.
स्टोर की गई XSS के साथ CSRF क्यों खतरनाक है (साधारण भाषा)
CSRF और XSS अलग-अलग समस्याएं हैं; एक साथ वे विशेष रूप से खतरनाक हो जाती हैं:
- CSRF: एक हमलावर एक लॉगिन किए गए उपयोगकर्ता को एक ऐसा कार्य करने के लिए मजबूर करता है जिसे वे नहीं चाहते थे (उदाहरण के लिए, एक वेबपृष्ठ पर जाकर जो कमजोर साइट पर एक फॉर्म सबमिट करता है)। उचित वर्डप्रेस प्रशासनिक क्रियाएं नॉन्स और क्षमता जांच का उपयोग करती हैं — जब ये गायब होते हैं, तो CSRF संभव है।.
- स्टोर किया गया XSS: यदि एक हमलावर डेटाबेस में JavaScript को सहेज सकता है और इसे बाद में उचित एस्केपिंग के बिना प्रस्तुत किया जाता है, तो वह स्क्रिप्ट उस सामग्री को देखने वाले किसी भी व्यक्ति के ब्राउज़र संदर्भ में चलती है (जिसमें प्रशासक भी शामिल हैं)।.
- चेनिंग: एक हमलावर एक विशेषाधिकार प्राप्त उपयोगकर्ता के ब्राउज़र को एक अनुरोध सबमिट करने का कारण बना सकता है जो JavaScript को स्टोर करता है। जब वह स्टोर की गई सामग्री बाद में प्रशासनिक पृष्ठों में प्रदर्शित होती है, तो स्क्रिप्ट निष्पादित होती है और विशेषाधिकार प्राप्त क्रियाएं कर सकती है (उपयोगकर्ता बनाना, डेटा निकालना, बैकडोर स्थापित करना)।.
इन जुड़े हुए परिदृश्यों में एक प्रशासक द्वारा एकल क्लिक भी पूर्ण समझौते के लिए पर्याप्त हो सकता है।.
तकनीकी मूल कारण (क्या गलत हुआ)
इस श्रृंखला को सक्षम करने वाली सामान्य कोडिंग विफलताएं हैं:
- CSRF सुरक्षा गायब है
- राज्य-परिवर्तन करने वाले अनुरोधों पर कोई WordPress नॉनस (wp_create_nonce / check_admin_referer) नहीं है।.
- प्रशासनिक क्रियाओं के लिए संदर्भ/उत्पत्ति सत्यापन की अनुपस्थिति।.
- क्षमता जांच अपर्याप्त है
- आवश्यक विशेषाधिकार के लिए current_user_can() की पुष्टि नहीं करने वाले एंडपॉइंट।.
- सफाई और एस्केपिंग अपर्याप्त है
- उपयोगकर्ता द्वारा प्रदान किए गए HTML/JS को डेटाबेस में बिना सफाई कार्यों (जैसे, sanitize_text_field, wp_kses_post) के सहेजना और इसे बिना esc_html/esc_attr या उचित kses फ़िल्टरिंग के आउटपुट करना।.
- उजागर प्रशासनिक लिखने योग्य एंडपॉइंट
- क्रिया हुक या AJAX एंडपॉइंट जो CSRF और क्षमता जांच के बिना POST/GET स्वीकार करते हैं।.
एक हमले का सामान्य रूप से कैसे प्रदर्शन होता है (उच्च स्तर)
- हमलावर उस कमजोर प्लगइन एंडपॉइंट को खोजता है जिसका उपयोग addfreespace द्वारा किया गया है।.
- वे एक पृष्ठ तैयार करते हैं जो उस एंडपॉइंट पर एक POST या GET सबमिट करता है जिसमें एक JavaScript पेलोड (एक संग्रहीत XSS वेक्टर) होता है जो प्लगइन द्वारा अपेक्षित पैरामीटर का उपयोग करता है।.
- एक प्रशासक (या अन्य विशेषाधिकार प्राप्त उपयोगकर्ता) दुर्भावनापूर्ण पृष्ठ पर जाता है या साइट पर प्रमाणित होने के दौरान एक तैयार लिंक पर क्लिक करता है।.
- चूंकि CSRF सुरक्षा गायब है, साइट अनुरोध को स्वीकार करती है और हमलावर द्वारा प्रदान किए गए JavaScript को डेटाबेस में सहेजती है।.
- जब संग्रहीत मान बाद में बिना एस्केपिंग के प्रदर्शित होता है, तो स्क्रिप्ट प्रशासक के ब्राउज़र में निष्पादित होती है।.
- JavaScript तब कुकीज़/टोकन चुरा सकता है, प्रमाणित अनुरोध कर सकता है (प्रशासक उपयोगकर्ता बनाना, प्लगइन अपलोड करना), बाहरी स्क्रिप्ट लोड कर सकता है, और स्थिरता स्थापित कर सकता है।.
प्रभाव — हमलावर क्या हासिल कर सकते हैं
एक प्रशासनिक सत्र में निष्पादित संग्रहीत XSS सक्षम कर सकता है:
- खाता अधिग्रहण (कुकी या टोकन चोरी)।.
- नए प्रशासकों का निर्माण।.
- स्थायी बैकडोर (प्लगइन्स/थीम या अनुसूचित कार्यों) की स्थापना।.
- डेटा निकासी (पोस्ट, मीडिया, उपयोगकर्ता डेटा)।.
- साइट का विकृति या आगंतुकों को ड्राइव-बाय मैलवेयर का वितरण।.
- होस्टिंग नियंत्रण पैनलों या डेटाबेस में आगे की पार्श्व गति।.
तत्काल कार्रवाई जो आपको करनी चाहिए (घटना-प्रतिक्रिया शैली)
यदि आप addfreespace (≤ 0.1.3) का उपयोग करते हैं, तो इसे तत्काल समझें:
- अब प्लगइन को निष्क्रिय करें।. wp-admin में लॉग इन करें और addfreespace को निष्क्रिय करें। यदि wp-admin अनुपलब्ध है, तो SFTP/SSH के माध्यम से प्लगइन फ़ोल्डर का नाम बदलें (wp-content/plugins/addfreespace → addfreespace.disabled)।.
- यदि आवश्यक नहीं है तो प्लगइन को हटा दें।. कोड को हटाना अक्सर सुरक्षित अल्पकालिक विकल्प होता है जब तक कि एक पैच किया गया संस्करण उपलब्ध न हो।.
- जांच करते समय साइट को रखरखाव मोड में डालें।. स्कैन और साफ करते समय एक्सपोजर को कम करें।.
- फ़ायरवॉल या वर्चुअल पैचिंग लागू करें।. प्लगइन के प्रशासनिक एंडपॉइंट्स पर अनुरोधों को ब्लॉक करने और स्क्रिप्ट-जैसे पेलोड्स को अस्वीकार करने के लिए अपने होस्ट या एक एप्लिकेशन फ़ायरवॉल का उपयोग करें। जहां संभव हो, संदर्भ/उत्पत्ति जांच लागू करें।.
- इंजेक्टेड पेलोड्स और संदिग्ध डेटाबेस प्रविष्टियों के लिए स्कैन करें।. स्क्रिप्ट-जैसे सामग्री के लिए पोस्ट, विकल्प, उपयोगकर्ता मेटा और अन्य संग्रह में खोजें (उदाहरण क्वेरी के लिए नीचे के पहचान अनुभाग को देखें)।.
- क्रेडेंशियल्स और रहस्यों को घुमाएं।. प्रशासनिक पासवर्ड रीसेट करें, API कुंजियों और किसी भी रहस्यों को घुमाएं जो उजागर हो सकते हैं।.
- उपयोगकर्ता खातों और भूमिकाओं की समीक्षा करें।. अप्रत्याशित प्रशासकों या विशेषाधिकार वृद्धि की तलाश करें।.
- सर्वर और एक्सेस लॉग की जांच करें।. प्लगइन एंडपॉइंट्स पर संदिग्ध POSTs या अनुरोधों की खोज करें।.
- यदि आवश्यक हो तो ज्ञात-अच्छे बैकअप से पुनर्स्थापित करें।. यदि आप बैकडोर या अस्पष्ट परिवर्तनों को पाते हैं जिन्हें आप आत्मविश्वास से साफ नहीं कर सकते, तो एक सत्यापित साफ बैकअप को पुनर्स्थापित करें।.
- प्रशासक पहुंच को मजबूत करें।. मल्टी-फैक्टर प्रमाणीकरण लागू करें, wp-admin के लिए IP प्रतिबंध पर विचार करें, और मजबूत पासवर्ड नीतियों को सुनिश्चित करें।.
इस भेद्यता से एक संग्रहीत XSS का पता कैसे लगाएं (समझौते के संकेत)
देखें:
