| प्लगइन का नाम | वर्डप्रेस प्राइम स्लाइडर – ऐडऑन फॉर एलिमेंटर प्लगइन |
|---|---|
| कमजोरियों का प्रकार | क्रॉस-साइट स्क्रिप्टिंग (XSS) |
| CVE संख्या | CVE-2026-4341 |
| तात्कालिकता | मध्यम |
| CVE प्रकाशन तिथि | 2026-04-07 |
| स्रोत URL | CVE-2026-4341 |
वर्डप्रेस प्राइम स्लाइडर ≤ 4.1.10 — फॉलो_us_text के माध्यम से प्रमाणित स्टोर XSS (CVE-2026-4341)
सारांश: प्राइम स्लाइडर – ऐडऑन फॉर एलिमेंटर (≤ 4.1.10) को प्रभावित करने वाली एक स्टोर की गई क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी प्रमाणित उपयोगकर्ताओं को लेखक स्तर (या उच्चतर) विशेषाधिकार के साथ फॉलो_us_text पैरामीटर के माध्यम से स्क्रिप्ट इंजेक्ट करने की अनुमति देती है। इसे CVE-2026-4341 के रूप में ट्रैक किया गया; 4.1.11 में ठीक किया गया। यह सलाह जोखिम, पहचान, सुधार, खोजों और व्यावहारिक वर्चुअल-पैच उदाहरणों को समझाती है।.
पृष्ठभूमि और प्रभाव
7 अप्रैल 2026 को एक स्टोर की गई XSS कमजोरी का खुलासा किया गया जो प्राइम स्लाइडर – ऐडऑन फॉर एलिमेंटर (संस्करण 4.1.10 तक और शामिल) को प्रभावित करता है। प्लगइन ने फॉलो_us_text पैरामीटर से एक मान को पर्याप्त सफाई या आउटपुट escaping के बिना स्टोर किया। एक प्रमाणित उपयोगकर्ता (लेखक स्तर या उच्चतर) HTML/JavaScript इंजेक्ट कर सकता था जो स्टोर किया गया और बाद में अन्य उपयोगकर्ताओं के ब्राउज़रों में निष्पादित किया गया जब मान प्रस्तुत किया गया।.
यह मुद्दा CVE-2026-4341 के रूप में दर्ज किया गया और संस्करण 4.1.11 में ठीक किया गया। हालांकि रिपोर्ट किया गया CVSS मध्यम (~5.9) है, स्टोर की गई XSS व्यावहारिक रूप से उच्च जोखिम है: हमलावर सत्र टोकन चुरा सकते हैं, व्यवस्थापकों के रूप में कार्य कर सकते हैं, स्थायी रीडायरेक्ट कर सकते हैं, या आगे के बैकडोर स्थापित कर सकते हैं।.
कौन जोखिम में है
- प्राइम स्लाइडर – ऐडऑन फॉर एलिमेंटर प्लगइन संस्करण 4.1.10 या उससे पहले चलाने वाली साइटें।.
- साइटें जो गैर-व्यवस्थापक प्रमाणित उपयोगकर्ताओं (लेखक/योगदानकर्ता) को स्लाइडर सामग्री बनाने या संपादित करने की अनुमति देती हैं।.
- साइटें जहां फॉलो_us_text उन पृष्ठों पर प्रस्तुत किया जाता है जिन्हें व्यवस्थापकों, संपादकों या अनधिकृत आगंतुकों द्वारा देखा जाता है।.
- मल्टीसाइट नेटवर्क जहां प्लगइन नेटवर्क-एक्टिव है।.
यहां तक कि कम-ट्रैफ़िक साइटों को स्वचालित स्कैनिंग द्वारा लक्षित या खोजा जा सकता है। इसे कार्रवाई योग्य मानें: संस्करणों की जांच करें और जल्दी पैच करें।.
कमजोरियों का काम करने का तरीका (उच्च स्तर)
- follow_us_text एक प्लगइन सेटिंग/संशोधित करने योग्य फ़ील्ड है जो डेटाबेस (विकल्प, पोस्टमेटा, या प्लगइन सेटिंग्स) में सहेजी जाती है।.
- इनपुट हैंडलिंग ठीक से खतरनाक इनपुट (स्क्रिप्ट टैग, इवेंट एट्रिब्यूट) को साफ या एस्केप नहीं करती है।.
- आउटपुट पर, संग्रहीत HTML/JS आगंतुकों के ब्राउज़रों में निष्पादित होता है। स्थिरता लोड को सत्रों में प्रभावी बनाती है।.
- एक लेखक-स्तरीय हमलावर एक लोड को इंजेक्ट कर सकता है जो तब निष्पादित होता है जब व्यवस्थापक या अन्य विशेषाधिकार प्राप्त उपयोगकर्ता स्लाइडर को देखते हैं।.
- परिणामों में कुकी चोरी, सत्र अपहरण, CSRF-शैली के विशेषाधिकार प्राप्त क्रियाएँ, या द्वितीयक लोड का वितरण शामिल हैं।.
शोषण परिदृश्य और हमलावर के लक्ष्य
- विशेषाधिकार वृद्धि पिवट: प्रभावित पृष्ठों को देखने पर व्यवस्थापक सत्र/कुकीज़ को कैप्चर करें।.
- स्थायी मैलवेयर ड्रॉप: स्क्रिप्ट इंजेक्ट करें जो बाहरी मैलवेयर, विज्ञापन, या स्पैम लोड करते हैं।.
- सामाजिक इंजीनियरिंग और रीडायरेक्ट: नकली प्रशासनिक संकेत दिखाना या फ़िशिंग/मॉनिटाइज्ड साइटों पर रीडायरेक्ट करना।.
- SEO विषाक्तता / स्पैम सम्मिलन: लिंक या सामग्री छिपाएं जो प्रतिष्ठा और रैंकिंग को degrade करती हैं।.
- दूसरे चरण का वितरण: प्रमाणित क्रियाएँ करने के लिए XSS का उपयोग करें (प्लगइन अपलोड करें, विकल्प बदलें)।.
सुरक्षित पहचान और समझौते के संकेत
संग्रहीत सामग्री और व्यवहारिक संकेतों पर ध्यान केंद्रित करें:
