कार्यकारी सारांश

28 अक्टूबर 2025 को FuseWP — WordPress उपयोगकर्ता ईमेल सूची और मार्केटिंग ऑटोमेशन प्लगइन में एक क्रॉस-साइट अनुरोध धोखाधड़ी (CSRF) भेद्यता का खुलासा किया गया (CVE-2025-11976)। संस्करण 1.1.23.0 तक और इसमें प्रभावित हैं; प्लगइन लेखक ने एक ठीक संस्करण 1.1.23.1 जारी किया।.

यह दोष एक दूरस्थ हमलावर को एक विशेषाधिकार प्राप्त, प्रमाणित उपयोगकर्ता (प्रशासक, संपादक) को ऐसे कार्य करने के लिए प्रेरित करने की अनुमति देता है जो वे नहीं करना चाहते थे — विशेष रूप से FuseWP प्लगइन में “सिंक नियम” बनाना। एक हमलावर इसका उपयोग तीसरे पक्ष की सेवाओं से कनेक्शन बनाने, उपयोगकर्ता डेटा को निकालने या स्वचालित प्रवाह को बदलने के लिए कर सकता है।.

यह गाइड व्यावहारिक रूप में तकनीकी विवरणों को समझाती है, साइट के जोखिम का आकलन करती है, और हांगकांग के सुरक्षा विशेषज्ञ के दृष्टिकोण से चरण-दर-चरण सुधार और मजबूत करने की सलाह प्रदान करती है।.

भेद्यता क्या है (साधारण भाषा)

क्रॉस-साइट अनुरोध धोखाधड़ी (CSRF) एक पीड़ित के प्रमाणित ब्राउज़र को एक अनुरोध भेजने के लिए धोखा देती है जिसे पीड़ित नहीं चाहता था। FuseWP समस्या एक ऐसे हमलावर को अनुमति देती है कि वह प्लगइन के “सिंक नियम बनाएं” फ़ंक्शन को सक्रिय करे जबकि एक विशेषाधिकार प्राप्त उपयोगकर्ता लॉग इन है और हमलावर द्वारा नियंत्रित सामग्री देख रहा है। एंडपॉइंट में पर्याप्त एंटी-CSRF सुरक्षा (नॉन्स या मूल जांच) नहीं थी, इसलिए ब्राउज़र ने उपयोगकर्ता के सत्र का उपयोग करके अनुरोध को निष्पादित किया।.

यह क्यों महत्वपूर्ण है

• हमलावर को प्रमाणपत्रों की आवश्यकता नहीं है — केवल एक लॉग इन किए हुए प्रशासक/संपादक को एक दुर्भावनापूर्ण पृष्ठ (ईमेल, सामाजिक इंजीनियरिंग) पर लुभाना है।.
• एक बनाया गया सिंक नियम उपयोगकर्ता डेटा को बाहरी सेवाओं पर अग्रेषित कर सकता है, अनधिकृत स्वचालन बना सकता है, या यह बदल सकता है कि उपयोगकर्ता डेटा आपकी साइट से कैसे प्रवाहित होता है।.
• संवेदनशील डेटा (ईमेल पते, मेटाडेटा) उजागर हो सकता है यदि सिंक नियम आपके नियंत्रण से बाहर निर्यात या सिंक करते हैं।.

सार्वजनिक रिपोर्टिंग इस मुद्दे को CVSS 4.3 (कम) के रूप में रेट करती है। यह संख्या उन साइटों के लिए व्यावहारिक जोखिम को समाप्त नहीं करती है जो बाहरी मार्केटिंग प्लेटफार्मों के साथ एकीकृत होती हैं या जिनमें कई विशेषाधिकार प्राप्त उपयोगकर्ता होते हैं।.

तकनीकी संदर्भ — हमलावर इसको कैसे भुनाने में सक्षम हो सकते हैं

1. हमलावर एक HTML फ़ॉर्म या जावास्क्रिप्ट तैयार करता है ताकि FuseWP सिंक-नियम निर्माण एंडपॉइंट पर एक POST अनुरोध प्रस्तुत किया जा सके, जिसमें सिंक नियम बनाने के लिए आवश्यक पैरामीटर शामिल होते हैं।.
2. हमलावर एक साइट प्रशासक (या अन्य विशेषाधिकार प्राप्त उपयोगकर्ता) को एक दुर्भावनापूर्ण पृष्ठ पर लुभाता है जबकि वे WordPress डैशबोर्ड में प्रमाणित होते हैं।.
3. पीड़ित का ब्राउज़र WordPress सत्र कुकी शामिल करता है; क्योंकि प्लगइन एक नॉन्स या मूल की पुष्टि नहीं करता है, अनुरोध सफल होता है।.
4. प्लगइन सेटिंग्स में एक सिंक नियम बनाया जाता है, जो संभवतः एक हमलावर द्वारा नियंत्रित बाहरी एंडपॉइंट की ओर इशारा करता है जिसे सिंक किए गए उपयोगकर्ता डेटा को प्राप्त करने के लिए कॉन्फ़िगर किया गया है।.

शोषण की सफलता कॉन्फ़िगरेशन, कौन से उपयोगकर्ता लॉग इन हैं, और किसी भी अपस्ट्रीम सुरक्षा पर निर्भर करती है। कई साइटें उजागर रहती हैं क्योंकि प्रशासक प्रमाणित होते हुए ब्राउज़ करते हैं।.

तात्कालिक कार्रवाई - प्राथमिकता दी गई चेकलिस्ट

यदि आप वर्डप्रेस साइटों का प्रबंधन करते हैं, तो सबसे तेज़, उच्चतम मूल्य वाले कार्यों से शुरू करें:

1. FuseWP को तुरंत 1.1.23.1 (या बाद में) अपडेट करें।. यदि उपलब्ध हो तो स्टेजिंग में परीक्षण करें, फिर उत्पादन में पुश करें।.
2. यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो अपने होस्टिंग प्रदाता के नियंत्रणों या WAF नियमों का उपयोग करके अस्थायी उपाय लागू करें (उपाय अनुभाग देखें)।.
3. FuseWP एकीकरणों (Mailchimp, ActiveCampaign, Constant Contact, आदि) द्वारा उपयोग किए जाने वाले API कुंजी और वेबहुक टोकन को घुमाएँ। अनधिकृत परिवर्तनों के लिए सक्रिय एकीकरणों की समीक्षा करें।.
4. हाल के प्लगइन सेटिंग्स और समन्वय नियमों का ऑडिट करें: उन नए बनाए गए समन्वय नियमों की तलाश करें जिन्हें आपने अधिकृत नहीं किया, आउटगोइंग एंडपॉइंट्स और नए जोड़े गए क्रेडेंशियल्स की जांच करें।.
5. प्रकट होने की तारीख (या पहले) से संदिग्ध कॉन्फ़िगरेशन परिवर्तनों के लिए व्यवस्थापक उपयोगकर्ता गतिविधि और लॉग की समीक्षा करें।.
6. न्यूनतम विशेषाधिकार लागू करें: अनावश्यक व्यवस्थापकों को हटा दें और सुनिश्चित करें कि उपयोगकर्ताओं के पास न्यूनतम आवश्यक क्षमताएँ हैं।.
7. विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए 2-कारक प्रमाणीकरण (2FA) जोड़ें और मजबूत अद्वितीय पासवर्ड लागू करें।.
8. सुधारात्मक परिवर्तनों करने से पहले तुरंत अपनी साइट (फाइलें और डेटाबेस) का बैकअप लें।.
9. यदि आप समझौता का पता लगाते हैं, तो घटना-प्रतिक्रिया प्रक्रियाओं का पालन करें (नीचे घटना प्रतिक्रिया अनुभाग देखें)।.

प्लगइन को अपडेट करना निश्चित समाधान है - यह प्रभावित संस्करणों द्वारा पेश किए गए CSRF वेक्टर को हटा देता है।.

उपाय विकल्प और आभासी पैचिंग

जहां तत्काल अपडेटिंग में देरी होती है, वहां आभासी पैचिंग और लक्षित हार्डनिंग जोखिम को कम करते हैं:

• समन्वय-नियम निर्माण एंडपॉइंट पर लक्षित हमले के ट्रैफ़िक का पता लगाने और अवरुद्ध करने के लिए WAF नियम लागू करें। उन अनुरोधों को अवरुद्ध करें जो समन्वय निर्माण पेलोड के समान हैं या जिनमें मान्य nonce/Origin/Referer जांच की कमी है।.
• संवेदनशील कार्यों के लिए जहां Referer या Origin हेडर आपके साइट होस्ट से मेल नहीं खाता, व्यवस्थापक POST को अस्वीकार करें।.
• जहां संचालनात्मक रूप से संभव हो, wp-admin तक पहुँच को IP रेंज द्वारा सीमित करें, या प्लगइन सेटिंग्स को संशोधित करने वाले POST के लिए एक अतिरिक्त चुनौती की आवश्यकता करें।.
• समन्वय नियम बनाने या संशोधित करने वाले कॉन्फ़िगरेशन परिवर्तनों पर निगरानी रखें और अलर्ट करें।.

उदाहरणात्मक वैचारिक WAF सिग्नेचर (अपने वातावरण के लिए समायोजित करें):

यदि POST पथ में /wp-admin/admin-ajax.php या admin-post.php है और अनुरोध शरीर में "fusewp" और "create_sync" (या समान कीवर्ड) शामिल हैं, तो आवश्यक है:.

admin-ajax.php को वैश्विक रूप से ब्लॉक न करें — कई प्लगइन्स इस पर निर्भर करते हैं। कमजोर क्रियाओं के पैरामीटर के लिए नियमों को अनुकूलित करें।.

पहचान — आपकी साइट पर क्या देखना है

सुधार के बाद, शोषण के संकेतों के लिए सक्रिय रूप से खोजें:

• नए या संशोधित FuseWP समन्वय नियम जो आपने नहीं बनाए।.
• प्लगइन कॉन्फ़िगरेशन में अनजान बाहरी वेबहुक URLs या API क्रेडेंशियल्स।.
• लॉग प्रविष्टियाँ जो बाहरी पृष्ठों से उत्पन्न प्लगइन एंडपॉइंट्स पर POST अनुरोध दिखाती हैं, विशेष रूप से अनुरोध जो गायब हैं या अमान्य नॉनसेस के साथ हैं।.
• आपके सर्वर से मार्केटिंग/स्वचालन डोमेन के लिए अप्रत्याशित आउटबाउंड कनेक्शन।.
• मेलिंग सूचियों में परिवर्तन, असामान्य सब्सक्राइबर पैटर्न, या प्रकटीकरण तिथि के बाद अप्रत्याशित ईमेल गतिविधि।.
• नए उपयोगकर्ता या उपयोगकर्ता मेटाडेटा में परिवर्तन जब संदिग्ध समन्वय नियम जोड़े गए थे।.

कहाँ जाँच करें

• वर्डप्रेस प्रशासन गतिविधि लॉग (यदि उपलब्ध हो)।.
• वेब सर्वर एक्सेस लॉग — admin-ajax.php, admin-post.php, या ज्ञात प्लगइन एंडपॉइंट्स के लिए POSTs को फ़िल्टर करें और समन्वय नियम फ़ील्ड के लिए पैरामीटर की जांच करें।.
• प्लगइन के अपने सेटिंग पृष्ठ।.
• तीसरे पक्ष के प्लेटफ़ॉर्म लॉग (Mailchimp, ActiveCampaign, आदि) आपके साइट से उत्पन्न API कॉल के लिए।.

यदि आप संदिग्ध संकेत देखते हैं, तो तुरंत एकीकरण क्रेडेंशियल्स को बदलें और घटना को संभावित उल्लंघन के रूप में मानें जब तक कि अन्यथा साबित न हो।.

WAF और अस्थायी हार्डनिंग नियम जिन्हें आप अभी लागू कर सकते हैं

तुरंत लागू करने के लिए व्यावहारिक नियम (होस्ट-स्तरीय या WAF):

• प्लगइन एंडपॉइंट्स पर POSTs को ब्लॉक करें जो समन्वय नियम बनाते हैं जब तक कि वे एक मान्य नॉनसे या अनुमत IP से उत्पन्न न हों।.
• प्रशासन POSTs को अस्वीकार करें जहाँ Referer और Origin हेडर आपकी साइट के होस्ट से मेल नहीं खाते।.
• किसी भी एंडपॉइंट के लिए प्रमाणीकरण और क्षमता जांच की आवश्यकता करें जो कॉन्फ़िगरेशन को संशोधित करता है।.
• प्लगइन द्वारा सिंक नियम बनाने के लिए उपयोग किए जाने वाले विशिष्ट पैरामीटर नामों वाले POSTs की निगरानी करें और उन्हें ब्लॉक करें; असामान्य पैरामीटर संयोजनों को चिह्नित करें।.

यदि आप एक होस्टिंग प्रदाता या पर्यावरण-स्तरीय WAF का उपयोग करते हैं, तो उनसे तुरंत इन लक्षित सुरक्षा उपायों को लागू करने के लिए कहें।.

पोस्ट-अपडेट चेकलिस्ट — सफाई और सत्यापन

1. डैशबोर्ड → प्लगइन्स में प्लगइन संस्करण की पुष्टि करें कि यह FuseWP 1.1.23.1 या बाद का है।.
2. सिंक नियमों का ऑडिट करें: अज्ञात नियमों को हटाएं और दूरस्थ क्रेडेंशियल्स को रद्द या घुमाएं।.
3. एक्सपोजर विंडो के दौरान प्लगइन एंडपॉइंट्स के लिए POSTs के लिए एक्सेस लॉग की जांच करें।.
4. प्लगइन इंटीग्रेशन द्वारा उपयोग किए जाने वाले API कुंजी और रहस्यों को घुमाएं।.
5. संदिग्ध प्रशासनिक क्रियाओं या नए बनाए गए खातों की जांच करें।.
6. अपने चुने हुए स्कैनर और इंटीग्रिटी टूल्स का उपयोग करके पूर्ण मैलवेयर स्कैन और फ़ाइल इंटीग्रिटी जांच चलाएं।.
7. केवल तब किसी भी अस्थायी WAF ब्लॉकों को फिर से सक्षम करें जब साइट साफ हो; निगरानी जारी रखें।.
8. आंतरिक रिकॉर्ड या अनुपालन के लिए घटना और सुधारात्मक कदमों का दस्तावेजीकरण करें।.

घटना प्रतिक्रिया: यदि आप समझौते का संदेह करते हैं

1. जांच करते समय साइट को अलग करें (रखरखाव मोड या IP द्वारा प्रतिबंधित)।.
2. प्लगइन इंटीग्रेशन द्वारा उपयोग की जाने वाली सभी API कुंजी और वेबहुक रहस्यों को घुमाएं।.
3. फोरेंसिक विश्लेषण के लिए लॉग्स का निर्यात और संरक्षण करें (वेब सर्वर, डेटाबेस, एप्लिकेशन लॉग)।.
4. यदि उपयुक्त हो तो एक साफ बैकअप से पुनर्स्थापित करें — सुनिश्चित करें कि बैकअप समझौते से पहले के हैं।.
5. यदि उपयोगकर्ता डेटा निर्यात किया गया था, तो लागू उल्लंघन-नोटिफिकेशन कानूनों और आपके संगठन की नीतियों का पालन करें।.
6. उच्च-प्रभाव वाली घटनाओं (डेटा निकासी, कानूनी जोखिम, बड़े उपयोगकर्ता आधार) के लिए एक विशेषीकृत घटना-प्रतिक्रिया सेवा को संलग्न करने पर विचार करें।.

इस भेद्यता के परे हार्डनिंग सलाह

• वर्डप्रेस कोर, थीम और प्लगइन्स को अद्यतित रखें; पहले स्टेजिंग में अपडेट का परीक्षण करें।.
• प्रशासक खातों को न्यूनतम करें और न्यूनतम विशेषाधिकार के सिद्धांत को लागू करें।.
• विशेष उपयोगकर्ताओं के लिए 2-कारक प्रमाणीकरण (2FA) लागू करें।.
• मजबूत पासवर्ड नीतियों और पासवर्ड प्रबंधकों का उपयोग करें।.
• एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या होस्ट-स्तरीय सुरक्षा तैनात करें जो उभरती कमजोरियों के लिए आभासी पैच लागू कर सके।.
• व्यवस्थापक क्रियाओं और कॉन्फ़िगरेशन परिवर्तनों की गतिविधि लॉगिंग सक्षम करें।.
• नियमित रूप से प्लगइन सेटिंग्स और तृतीय-पक्ष एकीकरणों का ऑडिट करें और अप्रयुक्त प्लगइनों को हटा दें।.
• जहां संचालन के लिए संभव हो, होस्टिंग से आउटबाउंड कनेक्शनों को सीमित करें (ज्ञात एकीकरण अंत बिंदुओं तक सीमित करें)।.

यह कैसे परीक्षण करें कि समस्या आपके साइट पर ठीक हो गई है

• स्टेजिंग पर, पुराने शोषण पैटर्न को पुन: उत्पन्न करने का प्रयास करें (उत्पादन पर परीक्षण न करें)। पुष्टि करें कि प्लगइन वैध नॉनसेस या उचित क्षमता जांचों के बिना अनुरोधों को अस्वीकार करता है।.
• नियंत्रित पैठ परीक्षण या वेब-सुरक्षा स्कैनरों का उपयोग करें ताकि यह सत्यापित किया जा सके कि व्यवस्थापक POST अंत बिंदुओं को वैध नॉनसेस या उचित संदर्भ/उत्पत्ति जांचों की आवश्यकता है।.
• सत्यापित करें कि आपका WAF या होस्टिंग नियम स्टेजिंग में ज्ञात शोषण पेलोड को अवरुद्ध करते हैं।.
• पुष्टि करें कि घुमाए गए API कुंजी प्रभावी हैं और बाहरी प्लेटफ़ॉर्म केवल नए क्रेडेंशियल्स के साथ अनुरोध स्वीकार करते हैं।.

क्यों CVSS स्कोर व्यावहारिक प्रभाव को नहीं दर्शा सकता

CVSS एक मानकीकृत गंभीरता दृश्य प्रदान करता है लेकिन CMS वातावरण के लिए व्यावसायिक जोखिम को कम कर सकता है:

• CVSS व्यावसायिक संदर्भ को कैप्चर नहीं करता — एक “कम” CSRF जो व्यक्तिगत डेटा को निर्यात करता है, GDPR या गोपनीयता-संवेदनशील संचालन के लिए महत्वपूर्ण हो सकता है।.
• शोषणशीलता व्यवस्थापक व्यवहार (क्या व्यवस्थापक ब्राउज़ करते समय लॉग इन हैं), प्लगइन कॉन्फ़िगरेशन, और अन्य सुरक्षा नियंत्रणों पर निर्भर करती है।.
• कमजोरियों को आपकी डेटा संवेदनशीलता और एक्सपोजर के अनुसार तात्कालिकता के साथ संभालें, केवल संख्यात्मक CVSS रेटिंग के आधार पर नहीं।.

समयरेखा और जिम्मेदार प्रकटीकरण

• प्रकटीकरण तिथि: 28 अक्टूबर 2025
• प्रभावित संस्करण: <= 1.1.23.0
• ठीक किया गया संस्करण: 1.1.23.1
• CVE असाइन किया गया: CVE-2025-11976

तुरंत अपडेट करें, लेकिन सुरक्षित तैनाती प्रथाओं का पालन करें: स्टेजिंग में परीक्षण करें, बैकअप लें, और अपडेट के बाद निगरानी करें।.

व्यावहारिक उदाहरण — खोज क्वेरी और निदान स्निप्पेट

संदिग्ध गतिविधि खोजने के लिए सुरक्षित, केवल-पढ़ने वाले सुझाव। परिवर्तन करने से पहले अपनी साइट का बैकअप लें।.

1. FuseWP द्वारा बनाए गए प्रविष्टियों के लिए विकल्प तालिका खोजें:

SELECT option_name, option_value;

2. POSTs के लिए वेब सर्वर लॉग्स को grep करें जो fusewp का उल्लेख करते हैं (पथ और पैटर्न समायोजित करें):

grep -i "fusewp" /var/log/apache2/*access.log* | grep "POST"

3. हाल ही में संशोधित प्लगइन फ़ाइलों का निरीक्षण करें (फ़ाइल टाइमस्टैम्प):

find /path/to/wordpress/wp-content/plugins/fusewp -type f -printf '%TY-%Tm-%Td %TT %p

4. यदि आपके पास एक गतिविधि-लॉगिंग प्लगइन है, तो “FuseWP” या व्यवस्थापक सेटिंग परिवर्तनों के लिए गतिविधि फ़ीड को फ़िल्टर करें।.

अक्सर पूछे जाने वाले प्रश्न

प्रश्न: यदि मैं प्लगइन को अपडेट करता हूं, तो क्या मुझे अभी भी WAF की आवश्यकता है?
उत्तर: हाँ। अपडेट आवश्यक हैं लेकिन गहराई में रक्षा महत्वपूर्ण है। WAFs प्रकटीकरण और पैचिंग के बीच कमी प्रदान करते हैं और स्वचालित स्कैन और विविध शोषण से जोखिम को कम कर सकते हैं।.

प्रश्न: मेरी साइट में कुछ व्यवस्थापक उपयोगकर्ता हैं — क्या यह सुरक्षित है?
उत्तर: कम व्यवस्थापक जोखिम को कम करते हैं, लेकिन मानव व्यवहार (लॉग इन रहते हुए ब्राउज़िंग) अभी भी जोखिम पैदा करता है। हार्डनिंग और निगरानी अभी भी लागू होती है।.

प्रश्न: क्या मुझे सभी तृतीय-पक्ष API कुंजी घुमानी चाहिए?
उत्तर: यदि आप अनधिकृत समन्वय नियम पाते हैं या डेटा निकासी का संदेह करते हैं, तो तुरंत कुंजी घुमाएं। यदि कोई संदिग्ध गतिविधि नहीं है, तो घुमाना एक कम लागत वाला सावधानी है।.

प्रश्न: क्या यह भेद्यता पासवर्ड को उजागर करती है?
उत्तर: रिपोर्ट की गई समस्या समन्वय नियमों के निर्माण की अनुमति देती है लेकिन स्पष्ट व्यवस्थापक पासवर्ड की सीधी पुनर्प्राप्ति की अनुमति नहीं देती। हालाँकि, समन्वय नियम उपयोगकर्ता ईमेल और मेटाडेटा को बाहरी एंडपॉइंट्स पर स्थानांतरित कर सकते हैं — किसी भी अनधिकृत समन्वय को संभावित डेटा उजागर के रूप में मानें।.

साइट मालिकों के लिए एक संक्षिप्त मार्गदर्शिका — सुरक्षित सुधार के लिए समयरेखा

1. अभी: सत्यापित करें कि FuseWP स्थापित है और आप कौन सा संस्करण चला रहे हैं।.
2. 24 घंटों के भीतर: प्लगइन को अपडेट करें या लक्षित WAF शमन सक्षम करें।.
3. 48 घंटों के भीतर: समन्वय नियमों का ऑडिट करें और एकीकरण कुंजी को घुमाएं।.
4. 7 दिनों के भीतर: एक पूर्ण सुरक्षा समीक्षा करें और अनुशंसित हार्डनिंग (2FA, न्यूनतम विशेषाधिकार) लागू करें।.
5. निरंतर: प्लगइन सेटिंग्स और आउटबाउंड एकीकरण की निगरानी और नियमित समीक्षाएं सक्षम करें।.

अंतिम विचार - हांगकांग सुरक्षा विशेषज्ञ का दृष्टिकोण

CSRF कमजोरियां धोखाधड़ी से सरल हैं फिर भी जब उपयोगकर्ता डेटा को निर्यात या समन्वयित करने वाले प्लगइनों के साथ मिलती हैं तो यह हानिकारक हो सकती हैं। तत्काल कदम सीधा है: FuseWP को 1.1.23.1 पर अपडेट करें। इसके अलावा, परतदार नियंत्रण लागू करें - सख्त विशेषाधिकार प्रबंधन, 2FA, गतिविधि लॉगिंग, और लक्षित WAF नियम - भविष्य में समान समस्याओं से जोखिम को सीमित करने के लिए।.

यदि आप कई साइटों का प्रबंधन करते हैं, तो निगरानी को केंद्रीकृत करें, परीक्षण किए गए अपडेट प्रक्रियाओं को बनाए रखें, और एक प्रतिक्रिया योजना तैयार रखें। उच्च-प्रभाव वाले घटनाओं के लिए, घटना-प्रतिक्रिया टीम को शामिल करें ताकि घटना को नियंत्रित और जांचा जा सके।.

उपयोगकर्ता गोपनीयता और सेवा की अखंडता की रक्षा करना वैकल्पिक नहीं है - यह एक मौलिक संचालन जिम्मेदारी है।.

— हांगकांग सुरक्षा विशेषज्ञ