| प्लगइन का नाम | अलोबैदी कैप्चा |
|---|---|
| कमजोरियों का प्रकार | स्टोर किया गया XSS |
| CVE संख्या | CVE-2025-8080 |
| तात्कालिकता | कम |
| CVE प्रकाशन तिथि | 2025-08-14 |
| स्रोत URL | CVE-2025-8080 |
अलोबैदी कैप्चा (≤1.0.3) — प्रमाणित प्रशासक द्वारा संग्रहीत XSS (CVE-2025-8080): वर्डप्रेस साइट के मालिकों को अब क्या करना चाहिए
सारांश: एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता (CVE-2025-8080) जो अलोबैदी कैप्चा प्लगइन के संस्करण ≤ 1.0.3 को प्रभावित करती है, एक प्रमाणित उपयोगकर्ता को प्रशासनिक विशेषाधिकारों के साथ प्लगइन सेटिंग्स में जावास्क्रिप्ट या HTML संग्रहीत करने की अनुमति देती है, जो बाद में उचित एस्केपिंग के बिना प्रस्तुत की जाती है। इस मुद्दे का CVSS स्कोर लगभग 5.9 (मध्यम/कम) है और इसका लाभ उठाने के लिए प्रशासनिक विशेषाधिकारों की आवश्यकता होती है, लेकिन यदि एक प्रशासनिक खाता समझौता किया जाता है तो यह महत्वपूर्ण बना रहता है। यह नोट, एक हांगकांग सुरक्षा विशेषज्ञ की आवाज में लिखा गया है, मुद्दे, संभावित प्रभाव, पहचान और सुधार के कदमों, और प्रशासकों और डेवलपर्स के लिए व्यावहारिक हार्डनिंग मार्गदर्शन को समझाता है।.
क्या हुआ (उच्च स्तर)
14 अगस्त 2025 को अलोबैदी कैप्चा वर्डप्रेस प्लगइन (संस्करण ≤ 1.0.3) के लिए एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता का खुलासा किया गया। इस भेद्यता को संग्रहीत XSS के रूप में वर्गीकृत किया गया है क्योंकि एक प्रमाणित प्रशासक द्वारा प्लगइन सेटिंग्स में प्रस्तुत किया गया दुर्भावनापूर्ण इनपुट स्थायी होता है और बाद में एक संदर्भ में प्रस्तुत किया जाता है जो ब्राउज़र में स्क्रिप्ट कोड को निष्पादित करता है।.
- भेद्यता: संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS)
- प्रभावित सॉफ़्टवेयर: अलोबैदी कैप्चा प्लगइन (वर्डप्रेस), संस्करण ≤ 1.0.3
- आवश्यक विशेषाधिकार: प्रशासक (प्रमाणित)
- CVE: CVE‑2025‑8080
- CVSS: ~5.9 (मध्यम/कम)
- आधिकारिक सुधार: लेखन के समय कोई प्रकाशित नहीं
हालांकि यह एक दूरस्थ, अनुमति रहित कोड निष्पादन दोष नहीं है, प्रशासक की आवश्यकता इसे कई प्रशासकों, साझा पहुंच, या कमजोर क्रेडेंशियल स्वच्छता वाले साइटों के लिए गंभीर जोखिम बनाती है। समझौता किए गए प्रशासक खाते या दुर्भावनापूर्ण अंदरूनी लोग संग्रहीत XSS का उपयोग करके प्रभाव को बढ़ा सकते हैं।.
यह आपके लिए क्यों महत्वपूर्ण है
कई वर्डप्रेस साइटों में कई प्रशासक होते हैं (साइट के मालिक, ठेकेदार, एजेंसी के कर्मचारी)। साझा नियंत्रण हमले की सतह को बढ़ाता है। एक प्रशासक पहुंच वाला हमलावर:
- अन्य प्रशासकों के ब्राउज़रों में निष्पादित होने वाला जावास्क्रिप्ट स्थायी कर सकता है।.
- प्रमाणीकरण कुकीज़ या API टोकन चुरा सकता है (विशेष रूप से यदि कुकीज़ HttpOnly नहीं हैं या टोकन प्रशासक पृष्ठों में लीक होते हैं)।.
- फ्रंट-एंड व्यवहार को संशोधित कर सकता है (दुर्भावनापूर्ण रीडायरेक्ट, ड्राइव-बाय डाउनलोड, बागी विज्ञापन)।.
- अतिरिक्त पहुंच प्राप्त करने के लिए सामाजिक इंजीनियरिंग के लिए XSS का उपयोग करें।.
- सेटिंग्स या विकल्पों में स्थायी बैकडोर छिपाएं जो चुपचाप काम करते हैं।.
प्लगइन सेटिंग्स में संग्रहीत XSS आमतौर पर कैसे काम करता है (तकनीकी सारांश)
प्लगइन सेटिंग्स में संग्रहीत XSS आमतौर पर एक पूर्वानुमानित पैटर्न का पालन करता है:
- प्लगइन एक व्यवस्थापक सेटिंग्स फ़ॉर्म प्रदान करता है जो उपयोगकर्ता इनपुट (पाठ फ़ील्ड, टेक्स्टएरिया, HTML स्निपेट, लेबल) स्वीकार करता है।.
- फ़ॉर्म सबमिशन पर प्लगइन कच्चे इनपुट (या अपर्याप्त रूप से स्वच्छ डेटा) को डेटाबेस में सहेजता है (अक्सर wp_options के माध्यम से सेटिंग्स API या update_option())।.
- बाद में प्लगइन उस सहेजे गए मान को एक संदर्भ में आउटपुट करता है जिसे ब्राउज़र द्वारा व्याख्यायित किया जाता है (उदाहरण के लिए, व्यवस्थापक सेटिंग्स पृष्ठ पर innerHTML के रूप में इंजेक्ट किया गया या फ्रंट-एंड मार्कअप में) बिना उचित एस्केपिंग के।.
- चूंकि आउटपुट अनएस्केप्ड है, कोई भी अंतर्निहित
