परिचय

14 अगस्त 2025 को रेडियस ब्लॉक्स (≤ 2.2.1) को प्रभावित करने वाली संग्रहीत क्रॉस-साइट स्क्रिप्टिंग समस्या (CVE-2025-5844) का खुलासा किया गया। यह कमजोरी एक प्रमाणित उपयोगकर्ता को योगदानकर्ता विशेषाधिकार (या उच्चतर) के साथ एक प्लगइन पैरामीटर में HTML/JavaScript सामग्री संग्रहीत करने की अनुमति देती है जिसका नाम है उपशीर्षक टैग नाम. जब वह संग्रहीत मान उचित सफाई या एस्केपिंग के बिना प्रस्तुत किया जाता है, तो यह एक पीड़ित के ब्राउज़र में निष्पादित हो सकता है — प्रभावित आउटपुट को देखने वाले साइट आगंतुकों और विशेषाधिकार प्राप्त उपयोगकर्ताओं पर प्रभाव डालता है।.

नीचे एक संक्षिप्त तकनीकी व्याख्या, पहचान और निवारण कदम, उचित फिक्स के लिए डेवलपर मार्गदर्शन, और घटना प्रतिक्रिया सिफारिशें दी गई हैं। स्वर व्यावहारिक है और तेजी से बदलते प्रकाशन वातावरण में काम कर रहे साइट मालिकों, डेवलपर्स और सुरक्षा टीमों के लिए उन्मुख है।.

त्वरित सारांश

• भेद्यता प्रकार: स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS)
• प्रभावित सॉफ़्टवेयर: रेडियस ब्लॉक्स प्लगइन, संस्करण ≤ 2.2.1
• CVE: CVE-2025-5844
• आवश्यक हमलावर विशेषाधिकार: योगदानकर्ता (प्रमाणित)
• शोषणशीलता: मध्यम — एक योगदानकर्ता खाता आवश्यक है लेकिन पेलोड बना रहता है और बाद में अन्य उपयोगकर्ताओं के लिए निष्पादित हो सकता है
• गंभीरता / CVSS: रिपोर्ट की गई CVSS 6.5 (मध्यम-निम्न) — महत्वपूर्ण प्रभाव, विशेष रूप से बहु-लेखक या संपादकीय साइटों पर
• आधिकारिक फिक्स: खुलासे के समय उपलब्ध नहीं — निवारण लागू करें और विशेषाधिकार सीमित करें

योगदानकर्ता से संग्रहीत XSS क्यों महत्वपूर्ण है

संग्रहीत XSS उच्च प्रभावी है क्योंकि दुर्भावनापूर्ण इनपुट डेटाबेस में बना रहता है, फिर जब कोई अन्य उपयोगकर्ता पृष्ठ लोड करता है तो निष्पादित होता है। मुख्य विचार:

• योगदानकर्ता खाते हांगकांग और अन्य स्थानों में संपादकीय कार्यप्रवाह में सामान्य हैं। लेखक और स्वयंसेवक अक्सर इन खातों के मालिक होते हैं।.
• योगदानकर्ता सामग्री बना सकते हैं या ब्लॉक विशेषताओं को सहेज सकते हैं। यदि ब्लॉक विशेषताएँ बिना सत्यापन के संग्रहीत की जाती हैं, तो एक योगदानकर्ता स्क्रिप्ट-धारण करने वाले पेलोड को स्थायी रूप से रख सकता है जो बाद में संपादकों, प्रशासकों या आगंतुकों के लिए निष्पादित होता है।.
• संग्रहीत XSS सत्र चोरी, विशेषाधिकार वृद्धि (ब्राउज़र-प्रेरित प्रशासनिक क्रियाओं के माध्यम से), सामग्री विकृति, फ़िशिंग पुनर्निर्देशन, या स्थायी मैलवेयर वितरण को सक्षम कर सकता है।.

यह भेद्यता कैसे काम करती है (तकनीकी अवलोकन)

समस्या एक पैरामीटर के चारों ओर केंद्रित है जिसे कहा जाता है उपशीर्षक टैग नाम. इसका उद्देश्य एक HTML टैग नाम को संग्रहीत करना है (उदाहरण के लिए, h2, h3). सही हैंडलिंग के लिए अनुमत टैग नामों की अनुमति सूची के खिलाफ सख्त सत्यापन और आउटपुट पर उचित एस्केपिंग की आवश्यकता होती है। संवेदनशील कोड पथ में, एक प्रमाणित योगदानकर्ता द्वारा प्रदान किया गया इनपुट संग्रहीत किया जाता है और बाद में बिना स्वच्छता/एस्केपिंग या सत्यापन के आउटपुट किया जाता है, जिससे स्क्रिप्ट इंजेक्शन सक्षम होता है।.

इस बग की ओर ले जाने वाले सामान्य समस्याग्रस्त पैटर्न:

• “टैग नाम” के लिए मनमाने स्ट्रिंग्स को स्वीकार करना और उन्हें सीधे संग्रहीत करना।.
• HTML में उपयोगकर्ता इनपुट को बहुत कम या बिना एस्केपिंग के रेंडर करना (जैसे, एक टैग नाम या विशेषता संदर्भ में एक मान को इको करना)।.
• ब्लॉक विशेषताओं को सहेजने के लिए उपयोग किए जाने वाले REST/AJAX एंडपॉइंट्स पर क्षमता या नॉनस जांच का अभाव।.

एक योगदानकर्ता पहुंच वाले हमलावर द्वारा क्या किया जा सकता है

• एक तैयार किया गया मान प्रस्तुत करना उपशीर्षक टैग नाम जो एक स्क्रिप्ट या on* विशेषता को शामिल करता है, उस आउटपुट पर निर्भर करते हुए जो स्वच्छ नहीं होगा।.
• क्योंकि मान संग्रहीत है, पेलोड हर आगंतुक को प्रभावित करेगा जो उस सामग्री को लोड करता है - जिसमें संपादक और प्रशासक शामिल हैं जो इसे ब्लॉक संपादक या सेटिंग पैनल में खोलते हैं।.
• क्लाइंट-साइड कोड एम्बेड करें जो पुनर्निर्देशन करता है, कुकीज़ या सत्र टोकन चुराता है (यदि HttpOnly ध्वज गायब हैं), या ब्राउज़र-प्रेरित अनुरोधों को ट्रिगर करता है जो एक प्रमाणित प्रशासक की ओर से विशेषाधिकार प्राप्त क्रियाएँ करते हैं।.

महत्वपूर्ण संदर्भ नोट्स

• यह एक अनधिकृत RCE या SQL इंजेक्शन नहीं है: एक हमलावर को योगदानकर्ता विशेषाधिकार या उससे अधिक के साथ एक लॉगिन खाता चाहिए।.
• प्रभाव इस बात पर निर्भर करता है कि प्लगइन इसका उपयोग कैसे करता है उपशीर्षक टैग नाम मूल्य: यदि इसे आगंतुकों के लिए फ्रंट-एंड पर या संपादकों के लिए प्रशासनिक क्षेत्र में प्रस्तुत किया जाता है, तो हमले की सतह बड़ी होती है।.
• सुरक्षित कुकी ध्वज (HttpOnly, SameSite) और CSP हेडर कुछ जोखिमों को कम कर सकते हैं, लेकिन ये सर्वर-साइड सत्यापन और एस्केपिंग का विकल्प नहीं हैं।.

साइट मालिकों के लिए तत्काल जोखिम में कमी

यदि आप वर्डप्रेस चला रहे हैं और आपके पास रेडियस ब्लॉक्स स्थापित हैं, तो निम्नलिखित तत्काल कार्रवाई पर विचार करें।.

1. योगदानकर्ता पहुंच को अस्थायी रूप से सीमित करें

• यह सीमित करें कि किसके पास योगदानकर्ता खाते हैं। अप्रयुक्त योगदानकर्ता खातों को अक्षम या हटा दें।.
• यदि आपका कार्यप्रवाह अनुमति देता है, तो साइट के पैच या कम किए जाने तक योगदानकर्ता खातों को अस्थायी रूप से डाउनग्रेड या लॉक करें।.

2. हाल की सामग्री और सेटिंग्स का ऑडिट करें

• पोस्ट, पोस्टमेटा, विजेट विकल्पों और प्लगइन विकल्पों में संदिग्ध सामग्री की खोज करें जहां ब्लॉक विशेषताएँ संग्रहीत की जा सकती हैं। उन स्ट्रिंग्स की तलाश करें जो 9. या विशेषताओं जैसे onload=, जावास्क्रिप्ट:, त्रुटि होने पर=, 11. साइट मालिकों के लिए तात्कालिक कदम, या टैग सेटिंग्स में डाली गई असामान्य HTML को शामिल करती हैं।.
• संदिग्ध प्रविष्टियों को खोजने के लिए WP-CLI या सीधे डेटाबेस क्वेरी का उपयोग करें (नीचे पहचान अनुभाग में उदाहरण)।.

3. एक WAF नियम लागू करें (वर्चुअल पैच)

यदि आप एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का प्रबंधन करते हैं या सर्वर-साइड अनुरोध फ़िल्टरिंग जोड़ने की क्षमता रखते हैं, तो स्क्रिप्ट टैग, इवेंट हैंडलर्स, या ब्लॉक विशेषताओं में अमान्य टैग नाम स्टोर करने का प्रयास करने वाले अनुरोधों को ब्लॉक करने के लिए नियम जोड़ें। विचारों के लिए नीचे “नमूना WAF नियम (सैद्धांतिक)” अनुभाग देखें।.

4. साइट सुरक्षा को मजबूत करें

• मजबूत प्रशासन/संपादक पासवर्ड लागू करें और प्रशासनिक/संपादक उपयोगकर्ताओं के लिए दो-कारक प्रमाणीकरण सक्षम करें।.
• इंजेक्टेड स्क्रिप्ट्स के प्रभाव को कम करने के लिए सामग्री सुरक्षा नीति (CSP) हेडर लागू करें।.
• सुनिश्चित करें कि कुकीज़ सुरक्षित ध्वज (HttpOnly, Secure, SameSite) का उपयोग करती हैं।.

5. लॉग और उपयोगकर्ता गतिविधि की निगरानी करें

• योगदानकर्ता खातों से असामान्य व्यवहार पर नज़र रखें (अप्रत्याशित सहेजना, बदले हुए प्रोफाइल, HTML शामिल करने वाले पोस्ट)।.
• REST एंडपॉइंट्स या admin-ajax के लिए POST अनुरोधों के लिए वेब सर्वर एक्सेस लॉग की जांच करें जो संदिग्ध पेलोड शामिल करते हैं।.

डेवलपर मार्गदर्शन - प्लगइन को कैसे ठीक करें (सिफारिश की गई पैच)

यदि आप प्लगइन डेवलपर हैं या साइट का रखरखाव करते हैं और प्लगइन कोड को संशोधित कर सकते हैं, तो इन सुधारों को लागू करें।.

1. अनुमति सूची का उपयोग करके इनपुट को मान्य करें

केवल वैध HTML टैग नामों की अनुमति दें उपशीर्षक टैग नाम, उदाहरण के लिए: h1, h2, h3, h4, h5, h6, p, span. PHP में उदाहरण:

<?php

2. आउटपुट पर साफ़ करें और एस्केप करें

HTML में इको करने से पहले किसी भी गतिशील मान को एस्केप करें:

• उपयोग करें esc_attr() एट्रिब्यूट संदर्भ के लिए।.
• उपयोग करें esc_html() जब टेक्स्ट आउटपुट कर रहे हों।.
• HTML टैग बनाने के लिए उपयोग किए जाने वाले टैग नामों के लिए, अनुमति सूची के खिलाफ मान्य करें और फिर सुरक्षित रूप से आउटपुट करें।.

<?php

3. REST और AJAX एंडपॉइंट्स पर क्षमता और नॉनस जांच लागू करें

सुनिश्चित करें कि सहेजने वाले एंडपॉइंट्स उचित जांच करते हैं:

• current_user_can('edit_posts') या एक उपयुक्त क्षमता जांच।.
• check_ajax_referer() (या WP REST नॉनस जांच) CSRF/अनधिकृत सहेजने से बचने के लिए।.

4. विकल्पों/मेटा में अस्वच्छ HTML संग्रहीत करने से बचें

यदि HTML को स्टोर करना आवश्यक है, तो कच्चे इनपुट को सहेजने के बजाय WP की सैनीटाइजेशन का उपयोग करें जिसमें एक सख्त अनुमत HTML सूची (wp_kses) हो:

<?php

5. यूनिट परीक्षण और कोड समीक्षा

• ऐसे परीक्षण जोड़ें जो XSS वेक्टर को इंजेक्ट करने का प्रयास करें और यह सुनिश्चित करें कि उन्हें सैनीटाइज किया गया है।.
• सभी बिंदुओं की समीक्षा करें जहां उपयोगकर्ता इनपुट को स्टोर या रेंडर किया जा सकता है।.

प्रबंधित WAF और वर्चुअल पैचिंग (विक्रेता-न्यूट्रल)

जब एक आधिकारिक पैच अभी उपलब्ध नहीं है, तो प्रबंधित अनुरोध फ़िल्टरिंग या WAF अस्थायी समाधान के रूप में कार्य कर सकता है जो दुर्भावनापूर्ण अनुरोधों और पैटर्न को ब्लॉक करता है। सामान्य समाधान में शामिल हैं:

• उन एंडपॉइंट्स पर POST/PUT अनुरोधों को ब्लॉक करना जो शामिल हैं 9. या विशेषताओं जैसे onload= या फ़ॉर्म फ़ील्ड या JSON पेलोड में एन्कोडेड समकक्ष।.
• टैग नाम पैरामीटर के लिए उन मानों को अस्वीकार करना जो गैर-अक्षर वर्ण, कोणीय ब्रैकेट, या इवेंट हैंडलर उपस्ट्रिंग्स (जैसे, त्रुटि पर, onclick).
• पेलोड एन्कोडिंग को सामान्य करना ताकि अस्पष्ट स्क्रिप्ट टैग (हैक्स, डबल एन्कोडिंग) का पता लगाया जा सके और उन्हें ब्लॉक किया जा सके।.

नोट: वर्चुअल पैचिंग तत्काल हमले की सतह को कम करती है लेकिन उचित कोड सुधार को प्रतिस्थापित नहीं करती। जब प्लगइन लेखक एक आधिकारिक अपडेट जारी करता है, तो इसे तुरंत लागू करें।.

नमूना WAF नियम (संकल्पनात्मक)

नीचे संकल्पनात्मक हस्ताक्षर हैं जिन्हें आप अनुकूलित कर सकते हैं। झूठे सकारात्मक से बचने के लिए सावधानी से परीक्षण करें।.

• उन अनुरोधों को ब्लॉक करें जहां एक फ़ील्ड जो केवल टैग नाम होना चाहिए, कोणीय ब्रैकेट्स को शामिल करती है:
  पैटर्न: पैरामीटर मान मेल खाता है .*[].* — क्रिया: ब्लॉक या सैनीटाइज करें।.
• अनुमत टैग नामों को लागू करें:
  पैटर्न: पैरामीटर मान मेल नहीं खाता ^(h[1-6]|p|span)$ — क्रिया: पैरामीटर को ब्लॉक या हटा दें।.
• JSON बॉडी या फॉर्म डेटा में सामान्य XSS टोकन को ब्लॉक करें:
  पैटर्न: (<script|%3Cscript|javascript:|onerror=|onload=|onmouseover=|document\.cookie) — क्रिया: ब्लॉक + अलर्ट।.

यदि आपको समझौता होने का संदेह है तो पहचान और सफाई करें

यदि आप मानते हैं कि आपकी साइट का दुरुपयोग किया गया है, तो एक क्रमबद्ध जांच और सुधार करें।.

1. अलग करें और इमेज बनाएं

• साइट को रखरखाव मोड में डालें या ट्रायज पूरा होने तक सार्वजनिक पहुंच को ब्लॉक करें।.
• फोरेंसिक उद्देश्यों के लिए साइट और डेटाबेस का पूरा बैकअप/इमेज बनाएं।.

2. दुर्भावनापूर्ण पेलोड की पहचान करें

• संदिग्ध स्ट्रिंग्स (स्क्रिप्ट टैग, एन्कोडेड स्क्रिप्ट टोकन, इवेंट हैंडलर विशेषताएँ) के लिए डेटाबेस की खोज करें।.
• सामान्य स्थानों की जांच करें: wp_posts.post_content, wp_postmeta, 11. संदिग्ध सामग्री के साथ।, और उपयोगकर्ता मेटा।.
• WP-CLI उदाहरण:

wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%<script%';"

3. साफ करें या पुनर्स्थापित करें

• यदि आपके पास एक साफ बैकअप है, तो पुनर्स्थापना अक्सर सबसे तेज सुधार होता है।.
• यदि स्थान पर सफाई कर रहे हैं: केवल दुर्भावनापूर्ण पेलोड को हटा दें, प्लगइन फ़ाइलों को आधिकारिक साफ संस्करणों से बदलें, व्यवस्थापक पासवर्ड और गुप्त कुंजियों को बदलें।.

4. खाता दुरुपयोग की जांच करें

• अनधिकृत परिवर्तनों या नए बनाए गए विशेषाधिकार प्राप्त खातों के लिए उपयोगकर्ता खातों की समीक्षा करें।.
• संदिग्ध उपयोगकर्ताओं को हटा दें और पासवर्ड रीसेट करें।.

5. यदि आवश्यक हो तो पेशेवर घटना प्रतिक्रिया का अनुरोध करें

जटिल घुसपैठ के लिए एक योग्य घटना प्रतिक्रिया टीम को संलग्न करें।.

योगदानकर्ता स्तर के XSS जोखिमों के खिलाफ WordPress को मजबूत करना

• न्यूनतम विशेषाधिकार का सिद्धांत: केवल तभी योगदानकर्ता पहुंच प्रदान करें जब आवश्यक हो। सीमित क्षमताओं के साथ कस्टम भूमिकाओं पर विचार करें।.
• सामग्री मॉडरेशन कार्यप्रवाह: संपादकों को योगदान की गई सामग्री की समीक्षा और स्वच्छता करने की आवश्यकता है इससे पहले कि इसे प्रस्तुत किया जाए।.
• अविश्वसनीय HTML को ब्लॉक करें: सुनिश्चित करें कि बिना अनफ़िल्टर्ड_एचटीएमएल क्षमता वाले उपयोगकर्ता कच्चा HTML प्रस्तुत नहीं कर सकते जो प्रस्तुत किया जाएगा।.
• इंजेक्टेड स्क्रिप्ट के प्रभाव को कम करने के लिए एक प्रतिबंधात्मक CSP लागू करें (जब बिल्कुल आवश्यक हो तो विश्वसनीय इनलाइन स्क्रिप्ट के लिए नॉनस का उपयोग करें)।.
• नियमित प्लगइन ऑडिट: स्थापित प्लगइनों को ट्रैक करें और अद्यतन स्थिति। बिना रखरखाव वाले प्लगइन उच्च जोखिम में होते हैं।.

प्लगइन लेखकों के लिए मार्गदर्शन - सर्वोत्तम प्रथाएँ

• छोटे डोमेन (जैसे टैग नाम) से मूल्यों के लिए अनुमति सूची के खिलाफ मान्य करें।.
• इनपुट पर स्वच्छता करें और आउटपुट पर एस्केप करें। WordPress APIs का उपयोग करें: esc_attr(), esc_html(), wp_kses(), sanitize_text_field().
• उपयोगकर्ता इनपुट स्वीकार करने वाले एंडपॉइंट्स पर क्षमता जांच और नॉनस लागू करें।.
• यूनिट परीक्षण जोड़ें जो इंजेक्शन प्रयासों का अनुकरण करते हैं और स्वच्छता की पुष्टि करते हैं।.
• गहराई में रक्षा अपनाएं: सर्वर-साइड मान्यता भले ही UI क्लाइंट-साइड मान्यता करता हो।.

कोड समीक्षा के दौरान इस भेद्यता का पता लगाना

कोड को चिह्नित करें जो:

• सर्वर-साइड मान्यता के बिना HTML या टैग नाम की तरह दिखने वाले मानों को संग्रहीत करता है।.
• प्लगइन विकल्पों या ब्लॉक विशेषताओं को सीधे HTML संदर्भों में दर्शाता है।.
• REST या AJAX एंडपॉइंट्स का उपयोग करता है बिना क्षमता और नॉनस जांच के।.
• योगदानकर्ताओं को सेटिंग्स सहेजने की अनुमति देता है जो फ्रंट-एंड को प्रभावित करती हैं बिना मॉडरेशन के।.

दीर्घकालिक रक्षा रणनीतियाँ

• CSPs अपनाएँ जो स्क्रिप्ट निष्पादन स्रोतों को सीमित करते हैं और जहाँ संभव हो इनलाइन स्क्रिप्ट्स को अस्वीकार करते हैं।.
• प्लगइन्स और थीम के भीतर केंद्रीकृत इनपुट मान्यता पुस्तकालयों को लागू करें।.
• उन प्लगइन्स की संख्या कम करें जो रेंडरिंग संरचना (टैग नाम, कच्चा HTML) को नियंत्रित करते हैं।.
• फीचर फ्लैग्स पर विचार करें ताकि प्लगइन सुविधाओं को अक्षम किया जा सके जो गतिशील HTML को रेंडर करने की आवश्यकता होती है जब तक कि वे मजबूत न हों।.

यदि आपकी साइट प्रभावित हुई है - एक घटना प्रतिक्रिया प्रारंभिक

1. ट्रायेज: प्रभावित सामग्री की पहचान करें और साइट को अलग करें।.
2. कंटेनमेंट: दुर्भावनापूर्ण खातों और अनुरोधों को ब्लॉक करें (WAF नियम या सर्वर फ़िल्टर)।.
3. उन्मूलन: दुर्भावनापूर्ण पेलोड्स को हटा दें, प्लगइन्स को अपडेट करें, संक्रमित फ़ाइलों को बदलें।.
4. पुनर्प्राप्ति: यदि आवश्यक हो तो एक साफ बैकअप से पुनर्स्थापित करें; क्रेडेंशियल्स बदलें और रहस्यों को घुमाएँ।.
5. सीखे गए पाठ: प्रक्रियाओं को समायोजित करें और पुनरावृत्ति को रोकने के लिए जांचें लागू करें।.

साइट मालिकों के लिए कार्रवाई चेकलिस्ट

• सूची: क्या आपके पास Radius Blocks स्थापित हैं? कौन सा संस्करण?
• उपयोगकर्ता: योगदानकर्ता खातों का ऑडिट करें - अप्रयुक्त खातों को अक्षम करें और मजबूत पासवर्ड लागू करें।.
• बैकअप: सुनिश्चित करें कि आपके पास हाल के साफ बैकअप हैं बदलाव करने से पहले।.
• WAF: अनुरोध फ़िल्टरिंग नियमों को सक्षम करें या कॉन्फ़िगर करें जो सहेजे गए पैरामीटर में स्क्रिप्ट टैग और इवेंट विशेषताओं को ब्लॉक करते हैं।.
• स्कैन: इंजेक्टेड स्क्रिप्ट टैग और संदिग्ध सामग्री के लिए साइट स्कैन चलाएँ।.
• पैच: जब प्लगइन लेखक एक नया संस्करण जारी करता है, तो परीक्षण के बाद अपडेट लागू करें।.
• मॉनिटर: सर्वर और एप्लिकेशन लॉग को संभावित शोषण के संकेतों के लिए रखें।.

जिम्मेदार प्रकटीकरण और समन्वय

यदि आप उन प्लगइन्स में कमजोरियों का पता लगाते हैं जिनका आप उपयोग करते हैं या रखरखाव करते हैं:

• उन्हें प्लगइन डेवलपर के सुरक्षा संपर्क या आधिकारिक समर्थन चैनलों के माध्यम से रिपोर्ट करें।.
• स्पष्ट पुनरुत्पादन चरण, साक्ष्य और सुझाए गए शमन प्रदान करें।.
• यदि कोई समय पर प्रतिक्रिया उपलब्ध नहीं है, तो अपने होस्टिंग प्रदाता को सूचित करें और समुदाय के साथ समन्वय करते हुए सर्वर-साइड शमन लागू करें।.

एक डेवलपर उदाहरण: subHeadingTagName का सुरक्षित प्रबंधन

उदाहरण पैटर्न जो एक अनुमति सूची को लागू करता है और हमेशा आउटपुट को एस्केप करता है:

<?php

आगे पढ़ने और उपकरण

• CVE-2025-5844 (संदर्भ)
• डेटा साफ़ करने और एस्केपिंग पर वर्डप्रेस डेवलपर हैंडबुक
• डेटाबेस खोजने के लिए WP-CLI दस्तावेज़
• सामग्री सुरक्षा नीति (CSP) गाइड