TL;DR

30 अगस्त 2025 को टेबलप्रेस संस्करण ≤ 3.2 (CVE-2025-9500) को प्रभावित करने वाली एक स्टोर की गई क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता का खुलासा किया गया। एक प्रमाणित उपयोगकर्ता जिसके पास योगदानकर्ता विशेषाधिकार हैं, वह शॉर्टकोड_debug पैरामीटर का उपयोग करके दुर्भावनापूर्ण स्क्रिप्ट सामग्री को स्थायी रूप से रख सकता है; वह सामग्री तब निष्पादित हो सकती है जब एक तालिका शॉर्टकोड को प्रशासक या संपादक संदर्भ में प्रस्तुत किया जाता है। टेबलप्रेस ने संस्करण 3.2.1 में इस समस्या को ठीक किया।.

पृष्ठभूमि और प्रभाव सारांश

टेबलप्रेस एक लोकप्रिय वर्डप्रेस प्लगइन है जो उपयोगकर्ताओं को प्रशासनिक इंटरफ़ेस के माध्यम से तालिकाएँ बनाने और प्रबंधित करने की अनुमति देता है। सार्वजनिक पृष्ठों और संपादक पूर्वावलोकनों में तालिकाओं को प्रस्तुत करने के लिए शॉर्टकोड का उपयोग किया जाता है। भेद्यता इनपुट के माध्यम से प्रदान की गई अपर्याप्त स्वच्छता/एस्केपिंग से उत्पन्न होती है शॉर्टकोड_debug पैरामीटर। एक तैयार किया गया मान संग्रहीत किया जा सकता है और बाद में उचित एस्केपिंग के बिना प्रस्तुत किया जा सकता है, जिससे स्टोर किया गया XSS होता है।.

क्योंकि शोषण के लिए केवल योगदानकर्ता विशेषाधिकार की आवश्यकता होती है - एक भूमिका जो आमतौर पर बाहरी लेखकों, ठेकेदारों और सामुदायिक सदस्यों को दी जाती है - यह मुद्दा संदर्भ में महत्वपूर्ण है, भले ही CVSS स्कोर मध्यम हो (लगभग 6.5 की रिपोर्ट की गई)।.

• स्टोर किए गए XSS पेलोड सत्र टोकन चुरा सकते हैं (कुकी फ्लैग और ब्राउज़र व्यवहार के आधार पर)।.
• दुर्भावनापूर्ण स्क्रिप्ट प्रमाणित ब्राउज़र सत्रों के माध्यम से प्रशासक-स्तरीय क्रियाएँ कर सकती हैं (जैसे, सेटिंग्स बदलना, उपयोगकर्ता बनाना, बैकडोर इंजेक्ट करना)।.
• पेलोड आगंतुकों को पुनर्निर्देशित कर सकते हैं, क्रिप्टोमाइनिंग या धोखाधड़ी स्क्रिप्ट इंजेक्ट कर सकते हैं, या व्यापक समझौते के लिए एक पैर जमाने के रूप में कार्य कर सकते हैं।.

किसे जोखिम है?

• टेबलप्रेस संस्करण 3.2 या पुराने चलाने वाली साइटें।.
• साइटें जो योगदानकर्ता या उच्चतर भूमिकाओं को तालिका सामग्री बनाने/संपादित करने या शॉर्टकोड जोड़ने की अनुमति देती हैं।.
• साइटें जहां प्रशासक/संपादक उन पृष्ठों को देखते हैं या पूर्वावलोकन करते हैं जो टेबलप्रेस शॉर्टकोड प्रस्तुत करते हैं।.
• बहु-लेखक ब्लॉग, सदस्यता साइटें, LMS इंस्टॉलेशन और अन्य संपादकीय कार्यप्रवाह जिनमें बाहरी योगदानकर्ता होते हैं।.

यदि आप TablePress का उपयोग नहीं करते हैं या आपने पहले ही 3.2.1+ में अपग्रेड कर लिया है, तो आप इस समस्या के प्रति संवेदनशील नहीं हैं।.

तकनीकी व्याख्या (गैर-शोषणकारी)

मूल कारण एक पैरामीटर की अपर्याप्त सफाई/एस्केपिंग है जो शॉर्टकोड डिबगिंग सुविधा से जुड़ा है। द्वारा प्रस्तुत सामग्री शॉर्टकोड_debug संग्रहीत की गई थी और बाद में इसे आउटपुट में उचित एन्कोडिंग के बिना डाला गया, जिससे ब्राउज़र इसे निष्पादन योग्य जावास्क्रिप्ट के रूप में व्याख्या कर सके जब शॉर्टकोड को प्रस्तुत किया गया।.

मुख्य बिंदु:

• यह संवेदनशीलता संग्रहीत XSS है: पेलोड डेटाबेस में लिखे जाते हैं।.
• हमले की सतह: योगदानकर्ता क्षमता वाले प्रमाणित उपयोगकर्ता।.
• निष्पादन तालिका शॉर्टकोड के प्रस्तुतिकरण के दौरान या व्यवस्थापक/संपादक पूर्वावलोकनों में होता है।.
• सुधार (3.2.1 में) डिबग मान को सही ढंग से मान्य/एस्केप करता है या प्रतिबंधित करता है और विश्वसनीय संदर्भों में एक्सपोजर को सीमित करता है।.

डेवलपर्स को सभी स्थानों का ऑडिट करना चाहिए जहां उपयोगकर्ता इनपुट HTML या विशेषताओं में डाला जाता है और सुनिश्चित करना चाहिए कि सही वर्डप्रेस एस्केपिंग फ़ंक्शन का उपयोग किया गया है (जैसे, esc_html(), esc_attr(), wp_kses_post()) और इनपुट को मान्य किया गया (sanitize_text_field(), wp_kses()).

यथार्थवादी हमले के परिदृश्य

1. योगदानकर्ता → व्यवस्थापक पैनल पर कब्जा
   एक योगदानकर्ता एक तैयार किया हुआ शॉर्टकोड_debug मान डालता है; एक व्यवस्थापक बाद में एक पृष्ठ या पूर्वावलोकन देखता है जो तालिका को प्रस्तुत करता है। स्क्रिप्ट व्यवस्थापक के ब्राउज़र में चलती है और प्रमाणित क्रियाएँ करती है (प्लगइन/थीम परिवर्तन, उपयोगकर्ता निर्माण)।.
2. योगदानकर्ता → साइट विज़िटर
   एक पेलोड सार्वजनिक विज़िटर्स को लक्षित करता है — रीडायरेक्ट, क्रेडेंशियल फ़िश ओवरले, मालविज़िटिंग या क्रिप्टोमाइनर्स।.
3. आपूर्ति श्रृंखला / संपादकीय दुरुपयोग
   बड़े संपादकीय कार्यप्रवाह में, एक निम्न-विशेषाधिकार योगदानकर्ता एक स्क्रिप्ट लगाता है और एक विशेषाधिकार प्राप्त संपादक के इसे प्रस्तुत करने की प्रतीक्षा करता है, जिससे एक बहु-चरणीय हमले की अनुमति मिलती है जो सरल ऑडिट से बच सकती है।.

योगदानकर्ताओं पर अक्सर भरोसा किया जाता है; तकनीकी नियंत्रणों के बिना विश्वास करना जोखिम को बढ़ाता है।.

तात्कालिक कार्रवाई (यदि आप TablePress ≤ 3.2 का उपयोग कर रहे हैं)

1. TablePress को 3.2.1 या बाद में अपडेट करें — यह सर्वोच्च प्राथमिकता है।.
2. यदि आप तुरंत अपडेट नहीं कर सकते:
   • योगदानकर्ता खातों के लिए संपादन अधिकार अस्थायी रूप से निलंबित करें जब तक कि पैच न हो जाए।.
   • पोस्ट सामग्री में TablePress शॉर्टकोड के रेंडरिंग को निष्क्रिय करें (यदि संभव हो तो शॉर्टकोड को बदलें या प्लगइन को अस्थायी रूप से निष्क्रिय करें)।.
   • अनुरोधों को ब्लॉक करने के लिए एक एज या सर्वर नियम लागू करें जो सेट करने का प्रयास कर रहे हैं शॉर्टकोड_debug या उस पैरामीटर में स्क्रिप्ट-जैसे वर्ण शामिल हैं।.
3. पिछले 30 दिनों में योगदानकर्ताओं द्वारा किए गए हाल के तालिका संपादनों और नए तालिकाओं का ऑडिट करें स्क्रिप्ट टैग या एन्कोडेड पेलोड के लिए।.
4. समझौते के संकेतों के लिए स्कैन करें: नए व्यवस्थापक उपयोगकर्ता, 11. संदिग्ध सामग्री के साथ।, अज्ञात क्रोन कार्य, संशोधित थीम/प्लगइन फ़ाइलें।.
5. सफाई से पहले फ़ाइलों और डेटाबेस का बैकअप लें।.

Short‑term mitigations you can apply now (when you can’t update immediately)

• योगदानकर्ता भूमिका से TablePress संपादन क्षमताओं को हटा दें (क्षमताओं को समायोजित करने के लिए एक भूमिका प्रबंधक या कोड स्निपेट का उपयोग करें)।.
• अविश्वसनीय भूमिकाओं के लिए संपादक पूर्वावलोकनों में दृश्य शॉर्टकोड रेंडरिंग को प्रतिबंधित करें।.
• इनलाइन स्क्रिप्ट निष्पादन को सीमित करने के लिए एक सामग्री सुरक्षा नीति (CSP) हेडर लागू करें (गहराई में रक्षा, पैचिंग का प्रतिस्थापन नहीं)।.
• सर्वर नियमों का उपयोग करें ताकि POST/GET पैरामीटर को नामित करने से मना किया जा सके शॉर्टकोड_debug or containing “
• Consider virtual patching at the edge (WAF/edge rules) to block exploit attempts until you can patch the plugin.

Example conceptual WAF rule (adapt to your platform syntax):

Rule: Block shortcode_debug parameter with HTML/script-like content
If REQUEST_METHOD in [POST, GET] AND ARG:shortcode_debug matches /(