तत्काल: हाइब्रिड कंपोज़र (<= 1.4.6) टूटी हुई प्रमाणीकरण — वर्डप्रेस साइट मालिकों को अभी क्या करना चाहिए

सारांश

• भेद्यता: टूटी हुई प्रमाणीकरण / हाइब्रिड कंपोज़र वर्डप्रेस प्लगइन में बिना प्रमाणीकरण सेटिंग्स परिवर्तन
• प्रभावित संस्करण: <= 1.4.6
• पैच किया गया: 1.4.7
• CVE: CVE-2019-25738
• CVSS: 9.8 (महत्वपूर्ण / उच्च)
• आवश्यक विशेषाधिकार: बिना प्रमाणीकरण (लॉगिन की आवश्यकता नहीं)
• जोखिम: दूरस्थ हमलावर प्लगइन सेटिंग्स को बदल सकते हैं और संभावित रूप से प्रशासनिक स्तर का नियंत्रण प्राप्त कर सकते हैं या साइट में बैकडोर बना सकते हैं

एक हांगकांग स्थित वर्डप्रेस सुरक्षा विशेषज्ञ के रूप में, यह सलाह बताती है कि क्या हुआ, यह क्यों खतरनाक है, यह शोषण कैसे काम करता है, समझौते के संकेतों का पता कैसे लगाएं, तात्कालिक रोकथाम के कदम, और दीर्घकालिक सख्ती के उपाय। यह मार्गदर्शन व्यावहारिक और क्रियाशील है — इसे एक घटना त्रिज्या चेकलिस्ट के रूप में मानें।.

क्या हुआ (साधारण भाषा)

हाइब्रिड कंपोज़र प्लगइन (संस्करण 1.4.6 तक और शामिल) में एक टूटी हुई प्रमाणीकरण भेद्यता (CVE-2019-25738) है। कुछ प्लगइन एंडपॉइंट्स ने बिना प्रमाणीकरण अनुरोधों को प्लगइन सेटिंग्स बदलने की अनुमति दी। चूंकि ये सेटिंग्स उन व्यवहारों को नियंत्रित कर सकती हैं जो प्रशासकों द्वारा उपयोग किए जाते हैं या एक दुर्भावनापूर्ण कॉन्फ़िगरेशन को बनाए रखने के लिए उपयोग की जा सकती हैं, एक बिना प्रमाणीकरण हमलावर साइट कॉन्फ़िगरेशन को बदल सकता है, बैकडोर बना सकता है, या प्रशासनिक पहुंच तक बढ़ सकता है।.

इसे HTTP(S) पर शोषण करना तुच्छ है और इसका CVSS स्कोर 9.8 है — इसे तत्काल मानें। इस पैटर्न का सामूहिक स्कैनिंग और स्वचालित शोषण जंगली में सामान्य है।.

यह इतना खतरनाक क्यों है

• अनधिकृत: कमजोर क्रिया को सक्रिय करने के लिए कोई खाता या लॉगिन की आवश्यकता नहीं है।.
• सेटिंग्स शक्तिशाली हैं: प्लगइन सेटिंग्स स्थायी दुर्भावनापूर्ण व्यवहार (रीडायरेक्ट, डेटा निकासी, खाता निर्माण, डिबग आउटपुट सक्षम करना, असुरक्षित विकल्पों को टॉगल करना) को सक्षम कर सकती हैं।.
• स्वचालित शोषण: हमलावर अक्सर इन बग्स को बॉट्स में बदल देते हैं जो कई साइटों को तेजी से स्कैन और शोषण करते हैं।.
• स्थिरता और वृद्धि: सेटिंग्स में संशोधन का उपयोग प्रशासनिक खातों को बनाने, बैकडोर इंजेक्ट करने, या दूरस्थ कोड लोड करने के लिए किया जा सकता है।.

तकनीकी सारांश (शोषण कैसे काम करता है)

• प्लगइन एक प्रशासनिक क्रिया (एक एंडपॉइंट, AJAX क्रिया, REST मार्ग, आदि) को उजागर करता है जो सेटिंग्स को अपडेट करता है।.
• एंडपॉइंट प्रमाणीकरण/अधिकार की सही तरीके से पुष्टि करने में विफल रहता है — गायब current_user_can(), गायब नॉन्स जांच (wp_verify_nonce()), या दोनों।.
• एक हमलावर उस एंडपॉइंट पर तैयार POST/GET अनुरोध भेजता है, विकल्पों को टॉगल करता है या मान डालता है जो डेटाबेस (विकल्प या पोस्ट मेटा) में बने रहते हैं।.
• बदले गए विकल्पों के साथ एक हमलावर JavaScript/CSS/PHP पेलोड इंजेक्ट कर सकता है, प्रशासनिक उपयोगकर्ताओं को जोड़ सकता है, दूरस्थ समावेश सक्षम कर सकता है, रीडायरेक्ट को संशोधित कर सकता है, या प्लगइन कोड को बैकडोर के रूप में दूरस्थ स्क्रिप्ट लोड करने के लिए निर्देशित कर सकता है।.

समझौते के संकेत (IoCs) — अब किस चीज़ की तलाश करें

यदि आप हाइब्रिड कंपोज़र (<= 1.4.6) चला रहे हैं, तो इन्हें तुरंत जांचें:

• अप्रत्याशित प्लगइन सेटिंग्स में परिवर्तन (प्लगइन प्रशासनिक पृष्ठों और 11. संदिग्ध सामग्री के साथ। तालिका)।.
• नए प्रशासनिक/संपादक खातों का निर्माण नहीं किया गया है जो एक प्रशासक द्वारा किया गया हो।.
• संदिग्ध अनुसूचित क्रोन नौकरियां (हाल ही में wp_cron प्रविष्टियाँ)।.
• अप्रत्याशित फ़ाइल संशोधन के तहत /wp-content/plugins/hybrid-composer/, /wp-content/uploads/, या थीम फ़ोल्डर।.
• अपलोड या अन्य लिखने योग्य निर्देशिकाओं में नए PHP फ़ाइलें।.
• साइट से अप्रत्याशित आउटबाउंड कनेक्शन (दूरस्थ IPs/डोमेन पर कॉल)।.
• साइट का व्यवहार परिवर्तन: रीडायरेक्ट, सर्च-इंजन मैलवेयर चेतावनियां, सामूहिक स्पैम ईमेल।.
• बढ़ी हुई त्रुटि लॉग, डिबग आउटपुट, या अचानक संसाधन स्पाइक्स।.

त्वरित प्राथमिकता आदेश (सर्वर शेल / WP-CLI)

# पिछले 14 दिनों में बदले गए प्लगइन फ़ाइलें खोजें

तात्कालिक कार्रवाई (घटना नियंत्रण / प्राथमिकता)

निम्नलिखित चरणों को प्राथमिकता दें। यदि आप कई साइटों का प्रबंधन करते हैं, तो पहले उच्चतम जोखिम वाले सार्वजनिक-फेसिंग और व्यवसाय-क्रिटिकल साइटों की प्राथमिकता दें।.

1. प्लगइन को पैच किए गए संस्करण (1.4.7) में अपडेट करें

   सबसे सुरक्षित कार्रवाई: जहां भी संभव हो, तुरंत हाइब्रिड कंपोज़र को अपडेट करें।.

2. यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो प्लगइन को निष्क्रिय या हटा दें।

   WP व्यवस्थापक या WP-CLI के माध्यम से:

   wp प्लगइन निष्क्रिय करें हाइब्रिड-कंपोजर

   यदि आप व्यवस्थापक तक पहुँच नहीं सकते हैं, तो SSH/SFTP के माध्यम से प्लगइन निर्देशिका का नाम बदलें:

   mv wp-content/plugins/hybrid-composer wp-content/plugins/hybrid-composer.disabled

3. कमजोर एंडपॉइंट्स तक पहुँच को कम करें

   पैच होने तक प्लगइन सेटिंग्स एंडपॉइंट्स (admin-ajax.php क्रियाएँ या REST रूट) तक अनधिकृत पहुँच को अवरुद्ध करें। दर-सीमा लागू करें और संदिग्ध IPs को ब्लॉक करें। ये उपाय अस्थायी हैं और अपडेट का स्थान नहीं लेते।.

4. क्रेडेंशियल्स और नमक को घुमाएँ
   • व्यवस्थापक पासवर्ड और अन्य विशेषाधिकार प्राप्त खातों को रीसेट करें।.
   • में वर्डप्रेस नमक और कुंजी को घुमाएँ wp-config.php (आधिकारिक वर्डप्रेस नमक जनरेटर पर नए नमक उत्पन्न करें)।.
   • प्लगइन सेटिंग्स में संग्रहीत किसी भी API कुंजी या क्रेडेंशियल्स को घुमाएँ।.
5. बैकडोर के लिए खोजें और साफ करें
   • इंजेक्टेड/दुष्ट फ़ाइलों और संदिग्ध कोड के लिए स्कैन करें।.
   • अज्ञात PHP फ़ाइलों या संशोधनों के लिए थीम और प्लगइन्स की जांच करें।.
   • समीक्षा करें 11. संदिग्ध सामग्री के साथ। और अन्य डेटाबेस तालिकाओं के लिए अप्रत्याशित मान।.
6. लॉग की समीक्षा करें और यदि आवश्यक हो तो पुनर्स्थापित करें

   प्लगइन एंडपॉइंट्स और संदिग्ध पेलोड के लिए वेब सर्वर और एप्लिकेशन लॉग की जांच करें। यदि आप शोषण का पता लगाते हैं और आपके पास एक ज्ञात साफ़ बैकअप है, तो समझौते से पहले लिए गए बैकअप से पुनर्स्थापित करें।.

7. हितधारकों को सूचित करें

   यदि आवश्यक हो तो अपनी टीम और होस्टिंग प्रदाता को सूचित करें। सफाई करते समय साइट को रखरखाव मोड में डालने पर विचार करें।.

शोषण ट्रैफ़िक का पता लगाने के लिए कैसे (नेटवर्क और लॉग)

प्लगइन-संबंधित एंडपॉइंट्स के लिए संदिग्ध कॉल के लिए एक्सेस लॉग की खोज करें। शिकार करने के लिए पैटर्न:

• POST अनुरोध /wp-admin/admin-ajax.php क्रियाओं के लिए क्रियान्वयन पैरामीटर के साथ जो प्लगइन-विशिष्ट क्रियाएँ मेल खाते हैं।.
• POST/GET अनुरोध /wp-json/*/* जहां REST रूट में प्लगइन पहचानकर्ता शामिल हैं।.
• प्लगइन व्यवस्थापक पृष्ठों के लिए अनुरोध (जैसे. /wp-admin/options-general.php?page=hybrid_composer_settings — अपने प्लगइन का सटीक स्लग पुष्टि करें)।.
• असामान्य उपयोगकर्ता-एजेंट स्ट्रिंग या एकल IP से अनुरोधों की उच्च मात्रा।.

उदाहरण grep आदेश

grep -i "admin-ajax.php" /var/log/apache2/access.log | grep "hybrid"

संदिग्ध अनुरोध समय-चिह्नों को डेटाबेस परिवर्तनों और फ़ाइल संशोधन समय के साथ सहसंबंधित करें।.

WAF-आधारित उपाय जिन्हें आप तुरंत लागू कर सकते हैं (वैचारिक)

यदि आपके पास वेब एप्लिकेशन फ़ायरवॉल या रिवर्स प्रॉक्सी पर नियंत्रण है, तो शोषण पैटर्न को अवरुद्ध करने के लिए अस्थायी नियम लागू करें जब तक कि आप साइट को अपडेट और साफ़ न करें। उदाहरण उपाय:

• जब तक एक मान्य वर्डप्रेस ऑथ कुकी या नॉनस मौजूद न हो, प्लगइन एंडपॉइंट्स पर अनधिकृत POSTs को अवरुद्ध करें।.
• व्यवस्थापक क्रियाओं के लिए अपेक्षित नॉन्स पैरामीटर गायब होने पर अनुरोधों का पता लगाएं और उन्हें ब्लॉक करें।.
• उन अनुरोधों को ब्लॉक करें जिनमें केवल प्लगइन की सेटिंग्स एपीआई द्वारा उपयोग किए जाने वाले पैरामीटर नाम शामिल हैं।.
• एक ही आईपी से प्लगइन एंडपॉइंट्स पर बार-बार अनुरोधों की दर-सीमा निर्धारित करें।.
• यदि आपके व्यवसाय के लिए उपयुक्त हो, तो उच्च-जोखिम वाले आईपी या देशों को अस्थायी रूप से ब्लॉक या चुनौती दें।.

नोट: WAF/एज नियम तेजी से जोखिम को कम करते हैं लेकिन ये एक अस्थायी उपाय हैं। पूर्ण समाधान केवल प्लगइन को अपडेट करने और किसी भी समझौते को साफ करने में है।.

डेवलपर मार्गदर्शन — प्लगइन को कैसे लिखा जाना चाहिए था

प्लगइन डेवलपर्स और रखरखाव करने वालों के लिए, निम्नलिखित सर्वोत्तम प्रथाओं को सुनिश्चित करें:

• हमेशा प्रमाणीकरण और क्षमताओं की जांच करें: उपयोग करें current_user_can() किसी भी क्रिया के लिए जो सेटिंग्स या डेटा को संशोधित करती है।.
• हमेशा नॉन्स की पुष्टि करें: उपयोग करें check_admin_referer() या wp_verify_nonce() फॉर्म/AJAX सबमिशन के लिए।.
• इनपुट को साफ करें और मान्य करें: कभी भी कच्चा इनपुट डेटाबेस में न सहेजें। उपयोग करें sanitize_text_field, esc_url_raw, wp_kses_post, आदि।.
• केवल व्यवस्थापक के लिए एंडपॉइंट्स को सार्वजनिक रूप से उजागर न करें: AJAX/REST क्रियाओं को क्षमता जांच के पीछे रखें।.
• REST API सर्वोत्तम प्रथाएँ: उपयोग करें permission_callback क्षमता और उचित प्रमाणीकरण को मान्य करने के लिए।.
• संदिग्ध प्रयासों को लॉग करें: सेटिंग्स को अपडेट करने के लिए अनधिकृत प्रयासों को रिकॉर्ड करें ताकि घटनाओं की जांच की जा सके।.

पूर्ण घटना प्रतिक्रिया चेकलिस्ट (विस्तृत)

यदि आपकी साइट का शोषण किया गया था, तो इस चेकलिस्ट का पालन करें।.

संकुचन

• कमजोर प्लगइन को तुरंत निष्क्रिय करें।.
• यदि आवश्यक हो तो साइट को रखरखाव मोड में डालें।.
• संदिग्ध एंडपॉइंट्स को ब्लॉक करने के लिए अस्थायी पहुंच नियंत्रण लागू करें।.

उन्मूलन

• व्यवस्थापक/उपयोगकर्ता पासवर्ड रीसेट करें और API कुंजियों को घुमाएं।.
• वर्डप्रेस सॉल्ट और गुप्त कुंजियों को फिर से उत्पन्न करें।.
• मैलवेयर/बैकडोर के लिए स्कैन करें और उन्हें हटा दें (नए/संशोधित PHP फ़ाइलों, संदिग्ध अपलोड, अस्पष्ट कोड की खोज करें)।.

पुनर्प्राप्ति

• यदि उपलब्ध हो, तो एक सत्यापित स्वच्छ बैकअप से पुनर्स्थापित करें।.
• वर्डप्रेस कोर, प्लगइन्स और थीम को नवीनतम संस्करणों में अपडेट करें।.
• केवल तभी प्लगइन्स को फिर से सक्षम करें जब वे पैच किए गए हों और साइट को स्कैन किया गया हो।.

घटना के बाद

• मूल कारण विश्लेषण करें और एक समयरेखा दस्तावेज़ करें।.
• दीर्घकालिक हार्डनिंग नियंत्रण लागू करें (नीचे सूचीबद्ध)।.
• यदि उल्लंघन में डेटा निकासी या बड़े पैमाने पर समझौता शामिल था तो पेशेवर घटना प्रतिक्रिया पर विचार करें।.

जोखिम को कम करने के लिए हार्डनिंग कदम (दीर्घकालिक)

• वर्डप्रेस कोर, प्लगइन्स और थीम को अद्यतित रखें।.
• मजबूत, अद्वितीय पासवर्ड का उपयोग करें और व्यवस्थापक खातों के लिए दो-कारक प्रमाणीकरण (2FA) सक्षम करें।.
• व्यवस्थापक खातों की संख्या सीमित करें और न्यूनतम विशेषाधिकार सिद्धांतों को लागू करें।.
• शून्य-दिन के शोषण के लिए जोखिम को कम करने के लिए वर्चुअल पैचिंग के साथ WAF या रिवर्स-प्रॉक्सी का उपयोग करें (पैचिंग के पूरक के रूप में)।.
• ऑफ-साइट बैकअप सक्षम करें और नियमित रूप से पुनर्स्थापना प्रक्रियाओं का परीक्षण करें।.
• नियमित रूप से मैलवेयर और कमजोरियों के लिए स्कैन करें।.
• फ़ाइल और निर्देशिका अनुमतियों को हार्ड करें (फ़ाइलें 644, निर्देशिकाएँ 755 जहाँ लागू हो)।.
• यदि आवश्यक न हो तो XML-RPC को अक्षम या प्रतिबंधित करें।.
• सुरक्षित होस्टिंग स्टैक सुनिश्चित करें (अप-टू-डेट PHP, OpenSSL, हार्डन वेब सर्वर कॉन्फ़िगरेशन)।.
• HTTPS लागू करें और सुरक्षित हेडर सेट करें (HSTS, CSP जहाँ उपयुक्त हो)।.
• लॉग की निगरानी करें और असामान्य व्यवहार के लिए अलर्ट सेट करें।.

यदि आपकी साइट पहले से ही समझौता की गई है — अधिक विवरण

हमलावर अक्सर कई स्थायी तंत्र छोड़ते हैं। निम्नलिखित की अच्छी तरह से जांच करें:

डेटाबेस जांचें

• निरीक्षण करें 11. संदिग्ध सामग्री के साथ। अजीब ऑटोलोडेड विकल्पों या संदिग्ध सीरियलाइज्ड पेलोड के लिए।.
• जांचें 7. wp_users अज्ञात खातों के लिए और 9. wp_usermeta परिवर्तित क्षमताओं के लिए।.

फ़ाइल प्रणाली की जांच

• अस्पष्ट PHP, PHP फ़ाइलों की तलाश करें 16. WP क्रॉन में अप्रत्याशित अनुसूचित घटनाएँ जो अपरिचित कोड को निष्पादित करती हैं।, या थीम फ़ाइलों में परिवर्तन (header.php, functions.php, आदि)।.

क्रोन नौकरियां

• WP-CLI के साथ निर्धारित घटनाओं की सूची: wp क्रोन इवेंट सूची

आउटबाउंड कनेक्शन

• दूरस्थ डोमेन को कॉल करने के लिए cURL/file_get_contents का उपयोग करने वाले स्क्रिप्टों की खोज करें।.

लॉग

• संदिग्ध शोषण के समय-चिह्नों की पहचान करें और संबंधित अनुरोधों और आईपी के लिए एक्सेस/त्रुटि लॉग की खोज करें।.

यदि आप गहरे, व्यापक समझौते के संकेत पाते हैं, तो साइट को ऑफ़लाइन ले जाएं और एक साफ़ बैकअप से पुनर्निर्माण करें, उसके बाद एक नई प्लेटफ़ॉर्म को फिर से स्थापित करने के बाद डेटा की सावधानीपूर्वक बहाली करें।.

साइट के मालिकों को आज क्या करना चाहिए (संक्षिप्त चेकलिस्ट)

• [ ] जांचें कि क्या हाइब्रिड कंपोज़र स्थापित है और यह कौन सा संस्करण है।.
• [ ] यदि <= 1.4.6: तुरंत 1.4.7 में अपडेट करें।.
• [ ] यदि आप अभी अपडेट नहीं कर सकते: प्लगइन को निष्क्रिय या हटा दें।.
• [ ] व्यवस्थापक पासवर्ड को घुमाएँ और वर्डप्रेस सॉल्ट को फिर से उत्पन्न करें।.
• [ ] साइट को दुर्भावनापूर्ण फ़ाइलों और अनधिकृत खातों के लिए स्कैन करें।.
• [ ] प्लगइन एंडपॉइंट्स पर अनधिकृत पहुंच को रोकने के लिए अस्थायी पहुंच नियंत्रण लागू करें।.
• [ ] प्लगइन एंडपॉइंट्स पर संदिग्ध अनुरोधों के लिए लॉग की समीक्षा करें।.
• [ ] बैकअप की पुष्टि करें और संभावित पुनर्स्थापना के लिए तैयार रहें।.
• [ ] साइट को मजबूत करें (2FA, न्यूनतम विशेषाधिकार, नियमित बैकअप, स्कैनिंग)।.

समान कमजोरियों से बचना — प्लगइन्स के लिए जोखिम में कमी

प्लगइन टीमों को सुरक्षा-प्रथम विकास जीवनचक्र अपनाना चाहिए:

• उन विशेषताओं का खतरा-मॉडल बनाएं जो कॉन्फ़िगरेशन या उपयोगकर्ता डेटा को संशोधित करती हैं।.
• कोड समीक्षाओं की आवश्यकता करें जो क्षमता जांच, नॉनस सत्यापन, और इनपुट स्वच्छता की जांच करती हैं।.
• सामान्य वर्डप्रेस कमजोरियों (प्रमाणिकता बायपास, XSS, SQLi) का पता लगाने के लिए स्थैतिक विश्लेषण और स्वचालित परीक्षणों का उपयोग करें।.
• एक स्पष्ट, प्रलेखित सुरक्षा संपर्क और जिम्मेदार प्रकटीकरण प्रक्रिया प्रदान करें।.

अक्सर पूछे जाने वाले प्रश्न (संक्षिप्त उत्तर)

प्रश्न: क्या मैं प्रशासनिक पहुंच को प्रतिबंधित करने पर पुराने प्लगइन संस्करण पर रह सकता हूँ?

उत्तर: नहीं। प्रशासनिक पहुंच को प्रतिबंधित करना मदद करता है लेकिन जोखिम को समाप्त नहीं करता। यह कमजोरी अनधिकृत है; हमलावर अन्य वेक्टर के माध्यम से एंडपॉइंट तक पहुँच सकते हैं। प्लगइन को अपडेट करें।.

प्रश्न: क्या WAF मुझे पूरी तरह से सुरक्षित करेगा?

उत्तर: एक WAF जोखिम को कम करता है और तत्काल सुरक्षा प्रदान कर सकता है, लेकिन यह सुरक्षा पैच लागू करने और सफाई करने का विकल्प नहीं है। दोनों का उपयोग करें: पैच + शमन।.

प्रश्न: मैं कैसे जांचूं कि क्या मुझे शोषित किया गया था?

उत्तर: बदले हुए प्लगइन सेटिंग्स, नए व्यवस्थापक उपयोगकर्ता, अप्रत्याशित फ़ाइलें, और संबंधित लॉग प्रविष्टियों के लिए जांचें। यदि सुनिश्चित नहीं हैं, तो फोरेंसिक स्कैन करें या एक पेशेवर घटना प्रतिक्रिया करने वाले को संलग्न करें।.

व्यावहारिक मार्गदर्शन — प्राथमिकता कार्य

1. प्रभावित सभी साइटों पर हाइब्रिड कंपोज़र को 1.4.7 में अपडेट करें। यह एकमात्र पूर्ण समाधान है।.
2. यदि आप तुरंत अपडेट नहीं कर सकते, तो प्लगइन को निष्क्रिय करें और शोषण ट्रैफ़िक को रोकने के लिए अस्थायी पहुंच नियंत्रण लागू करें।.
3. क्रेडेंशियल्स को घुमाएँ और प्लगइन को फिर से सक्षम करने से पहले समझौते के संकेतों के लिए साइट की जांच करें।.
4. सुधार के बाद, साइट को मजबूत करने के उपाय और निरंतर निगरानी लागू करें।.
5. यदि आपके पास इन-हाउस विशेषज्ञता की कमी है, तो चल रहे प्रबंधित सुरक्षा सेवाओं या एक विश्वसनीय घटना प्रतिक्रिया करने वाले पर विचार करें।.

यदि आपको अपने वातावरण (cPanel, Plesk, SSH-केवल, प्रबंधित होस्टिंग) के लिए एक अनुकूलित चेकलिस्ट या विशिष्ट कमांड उदाहरणों की आवश्यकता है, तो अपनी सेटअप का विवरण दें और मैं ठोस चरण-दर-चरण निर्देश प्रदान करूंगा।.

सतर्क रहें — समय पर पैचिंग और सावधानीपूर्वक ट्रायेज़ तेज़ गति से हमलों को रोकने के लिए आवश्यक हैं।.

— हांगकांग वर्डप्रेस सुरक्षा विशेषज्ञ

संदर्भ और आगे की पढ़ाई

• CVE-2019-25738 (सार्वजनिक रिकॉर्ड)
• वर्डप्रेस डेवलपर दस्तावेज़: नॉनस, REST API अनुमतियाँ, और क्षमता जांचें
• OWASP शीर्ष 10: पहचान और प्रमाणीकरण विफलताएँ