लॉकरप्रेस (≤ 1.0) — CSRF जो स्टोर किए गए XSS (CVE-2025-9946) की ओर ले जाता है: यह आपके वर्डप्रेस साइट के लिए क्या मतलब रखता है और इसे कैसे सुरक्षित करें

एक हांगकांग सुरक्षा पेशेवर द्वारा — 2025-09-30

TL;DR — लॉकरप्रेस प्लगइन (संस्करण ≤ 1.0) में एक श्रृंखलाबद्ध भेद्यता को CVE-2025-9946 सौंपा गया है। एक अप्रमाणित क्रॉस-साइट अनुरोध धोखाधड़ी (CSRF) स्टोर किए गए क्रॉस-साइट स्क्रिप्टिंग (XSS) का परिणाम दे सकती है जो तब चलती है जब एक व्यवस्थापक प्रभावित व्यवस्थापक पृष्ठ को देखता है। यह प्रभावित साइटों के लिए कार्रवाई योग्य और उच्च प्रभाव वाला है। यदि आप लॉकरप्रेस चला रहे हैं, तो तुरंत नीचे दिए गए शमन कदमों को लागू करें।.

सामग्री

• क्या रिपोर्ट किया गया (संक्षेप)
• यह क्यों गंभीर है
• तकनीकी विश्लेषण (श्रृंखला कैसे काम करती है — उच्च स्तर)
• पूर्व शर्तें और हमलावर मॉडल
• शोषण परिदृश्य और प्रभाव
• शोषण या समझौते का पता कैसे लगाएं
• साइट के मालिकों को तुरंत उठाने चाहिए कदम
• दीर्घकालिक शमन और मजबूत करना
• प्लगइन डेवलपर्स के लिए मार्गदर्शन
• घटना प्रतिक्रिया चेकलिस्ट
• परिशिष्ट: सुझाए गए WAF नियम और पहचान हस्ताक्षर (गैर-शोषणकारी)

क्या रिपोर्ट किया गया (संक्षेप)

30 सितंबर 2025 को लॉकरप्रेस वर्डप्रेस प्लगइन के लिए एक सुरक्षा सलाह जारी की गई थी जो संस्करण 1.0 और उससे पहले को प्रभावित करती है (CVE-2025-9946)। यह भेद्यता एक श्रृंखलाबद्ध समस्या है: एक अप्रमाणित अनुरोध (CSRF) स्थायी डेटा को इंजेक्ट करने में सक्षम है जो बाद में वर्डप्रेस व्यवस्थापक संदर्भ में असुरक्षित रूप से प्रस्तुत किया जाता है, जिससे स्टोर किए गए XSS का परिणाम होता है। चूंकि स्टोर किया गया पेलोड तब निष्पादित होता है जब एक विशेषाधिकार प्राप्त उपयोगकर्ता प्रभावित व्यवस्थापक पृष्ठ को देखता है, परिणामस्वरूप स्क्रिप्ट उस उपयोगकर्ता के ब्राउज़र सत्र के भीतर उस उपयोगकर्ता के विशेषाधिकारों के साथ निष्पादित होती है।.

सलाहकार भेद्यता वर्ग की पहचान करता है:

• प्राथमिक समस्या: क्रॉस-साइट अनुरोध धोखाधड़ी (CSRF)
• परिणाम: वर्डप्रेस व्यवस्थापक इंटरफ़ेस में स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS)
• प्रभावित संस्करण: लॉकरप्रेस ≤ 1.0
• CVE: CVE‑2025‑9946

नीचे हम समझाते हैं कि इसका क्या मतलब है, किसे जोखिम है, और ठीक से कैसे प्रतिक्रिया दें और इसे कम करें।.

यह क्यों गंभीर है

वर्डप्रेस प्रशासनिक संदर्भ में संग्रहीत XSS क्लाइंट-साइड कमजोरियों के अधिक खतरनाक वर्गों में से एक है। विचार करें:

• प्रशासनिक विशेषाधिकार शक्तिशाली होते हैं।. जब एक प्रशासक का ब्राउज़र साइट संदर्भ में हमलावर द्वारा प्रदान किए गए स्क्रिप्ट को निष्पादित करता है, तो हमलावर उस प्रशासक उपयोगकर्ता के लिए उपलब्ध क्रियाएँ कर सकता है - प्रशासक उपयोगकर्ताओं को बनाना, सेटिंग्स बदलना, प्लगइन्स स्थापित करना, सत्र कुकीज़ के माध्यम से क्रेडेंशियल्स को निकालना, और अधिक।.
• श्रृंखला एक अनधिकृत CSRF के साथ शुरू होती है।. एक हमलावर एक विशेषाधिकार प्राप्त उपयोगकर्ता को अनुरोध करने के लिए धोखा दे सकता है (उदाहरण के लिए, उन्हें एक दुर्भावनापूर्ण वेबपृष्ठ पर जाने के लिए कहकर)। हमलावर को साइट पर एक खाता होने की आवश्यकता नहीं है।.
• पेलोड संग्रहीत है।. संग्रहीत XSS डेटाबेस में बना रहता है (विकल्प, पोस्ट, प्लगइन सेटिंग्स)। हर विशेषाधिकार प्राप्त उपयोगकर्ता जो प्रभावित प्रशासनिक पृष्ठ को लोड करता है, पेलोड को सक्रिय कर सकता है।.
• सामूहिक शोषण व्यावहारिक है।. हमलावर शोषण को स्वचालित कर सकते हैं और कई साइटों पर प्रशासकों तक पहुँचने के लिए अवसरवादी सामाजिक इंजीनियरिंग पर भरोसा कर सकते हैं।.

संक्षेप में, साइट की अखंडता और गोपनीयता के लिए व्यावहारिक जोखिम उच्च है।.

तकनीकी विश्लेषण - श्रृंखला आमतौर पर कैसे काम करती है (उच्च स्तर, गैर-शोषणकारी)

हम शोषण कोड प्रकाशित नहीं करते हैं। निम्नलिखित यांत्रिकी का वर्णन करता है ताकि प्रशासक और डेवलपर्स जोखिम को समझ सकें और कार्रवाई कर सकें।.

1. प्लगइन एक क्रिया को उजागर करता है जो इनपुट स्वीकार करता है और इसे सर्वर-साइड पर संग्रहीत करता है (जैसे, एक विकल्प को अपडेट करता है, एक अस्थायी बनाता है, एक प्रशासनिक सूचना को सहेजता है)। वह क्रिया अनुरोध के मूल को सही ढंग से मान्य नहीं करती है - नॉनस या क्षमता जांच गायब हैं।.
2. एंडपॉइंट किसी भी मूल से POST (या GET) स्वीकार करता है। एक हमलावर एक वेबपृष्ठ तैयार करता है जो वही अनुरोध करता है (फॉर्म ऑटो-सबमिट या फेच)।.
3. एक विशेषाधिकार प्राप्त उपयोगकर्ता को हमलावर-नियंत्रित पृष्ठ पर लुभाया जाता है। उनका ब्राउज़र, जब कमजोर साइट में लॉग इन होता है, तो तैयार किया गया अनुरोध भेजता है (CSRF)।.
4. सर्वर हमलावर-नियंत्रित सामग्री को डेटाबेस में संग्रहीत करता है। सामग्री बाद में प्रशासनिक इंटरफेस में उचित एस्केपिंग के बिना आउटपुट होती है (उदाहरण के लिए, इको के साथ प्रिंट की जाती है)।.
5. जब एक प्रशासक प्रभावित प्रशासनिक पृष्ठ को खोलता है, तो इंजेक्ट की गई सामग्री को प्रशासक के ब्राउज़र में स्क्रिप्ट के रूप में प्रस्तुत और निष्पादित किया जाता है।.
6. हमलावर तब प्रशासक के सत्र के साथ क्रियाएँ कर सकते हैं: प्रशासक खाते बनाना, प्लगइन्स स्थापित करना, डेटा निकालना, या आगे बढ़ना।.

मूल कारण आमतौर पर शामिल होते हैं:

• CSRF सुरक्षा का अभाव या गलत (कोई check_admin_referer(), कोई wp_verify_nonce(), आदि)।.
• इनपुट सत्यापन और आउटपुट escaping की कमी (कोई esc_html(), esc_attr(), wp_kses())।.
• एंडपॉइंट पर अत्यधिक व्यापक विशेषाधिकार या बिना प्रमाणीकरण अनुरोध स्वीकार करना।.

पूर्व शर्तें और हमलावर मॉडल

• हमलावर की क्षमताएँ: सामाजिक इंजीनियरिंग के लिए दुर्भावनापूर्ण पृष्ठों/ईमेल का दूरस्थ होस्टिंग। हमलावर को लक्षित साइट में लॉग इन होने की आवश्यकता नहीं है।.
• विशेषाधिकार प्राप्त उपयोगकर्ता की आवश्यकता: कम से कम एक उपयोगकर्ता जिसके पास पर्याप्त विशेषाधिकार हैं (आमतौर पर एक व्यवस्थापक) को WordPress साइट में प्रमाणित होते हुए दुर्भावनापूर्ण पृष्ठ पर जाना चाहिए।.
• साइट कॉन्फ़िगरेशन: LockerPress ≤ 1.0 स्थापित और सक्रिय; प्लगइन एक कमजोर क्रिया को उजागर करता है जो हमलावर इनपुट को संग्रहीत करता है और बाद में इसे व्यवस्थापक UI में प्रदर्शित करता है।.

कई व्यवस्थापक लंबे समय तक लॉग इन रहते हैं, जिससे दुर्भावनापूर्ण पृष्ठ के साथ अवसरवादी मुठभेड़ की व्यावहारिक संभावना बढ़ जाती है।.

शोषण परिदृश्य और वास्तविक प्रभाव

सफल शोषण के बाद संभावित हमलावर के उद्देश्य में शामिल हैं:

• पूर्ण साइट अधिग्रहण: नए व्यवस्थापक उपयोगकर्ताओं को बनाना या व्यवस्थापक-सक्षम कार्यों के माध्यम से क्रेडेंशियल बदलना।.
• स्थायी बैकडोर स्थापना: PHP बैकडोर या दूरस्थ शेल शामिल करने के लिए थीम या प्लगइन फ़ाइलों को संशोधित करना।.
• डेटा एक्सफिल्ट्रेशन: व्यवस्थापक संदर्भ के माध्यम से साइट कॉन्फ़िगरेशन डेटा, API कुंजी, या जुड़े सेवाओं तक पहुंच प्राप्त करना।.
• होस्टिंग वातावरण में पिवट: यदि फ़ाइल लेखन की अनुमति है, तो हमलावर क्रोन कार्य जोड़ सकते हैं, वेबशेल लगा सकते हैं, या सर्वर-स्तरीय नियंत्रण में वृद्धि कर सकते हैं।.
• आपूर्ति श्रृंखला का समझौता: दुर्भावनापूर्ण कोड इंजेक्ट करना जो आगंतुकों को परोसा जाता है (मैलवर्टाइजिंग, क्रेडेंशियल हार्वेस्टिंग)।.

तत्काल सर्वर-साइड स्थिरता के बिना भी, एक प्रशासक के ब्राउज़र में जावास्क्रिप्ट निष्पादित करना हमलावरों को कई शक्तिशाली वेक्टर देता है।.

शोषण या समझौते का पता कैसे लगाएं

यदि आप लक्षित होने का संदेह करते हैं, तो निम्नलिखित की जांच करें:

सर्वर और अनुप्रयोग संकेतक

• प्लगइन्स/थीम्स/अपलोड में अप्रत्याशित फ़ाइल संशोधन समय।.
• नए प्रशासक उपयोगकर्ता या अप्रत्याशित भूमिका/क्षमता परिवर्तन।.
• नए निर्धारित कार्य (क्रोन इवेंट) जो आपने नहीं बनाए।.
• wp_options, wp_posts, या अन्य तालिकाओं में संदिग्ध प्रविष्टियाँ (उदाहरण के लिए, टैग वाले HTML)।.
• सर्वर से असामान्य आउटबाउंड कनेक्शन (अज्ञात आईपी, C2 ट्रैफ़िक)।.
• अस्पष्टीकृत CPU, मेमोरी, या बैंडविड्थ स्पाइक्स।.

एक्सेस और ट्रैफ़िक लॉग

• प्लगइन एंडपॉइंट्स पर बाहरी संदर्भों से POST अनुरोध तुरंत प्रशासक पृष्ठ लोड के बाद।.
• प्रशासक एंडपॉइंट्स को लक्षित करने वाले असामान्य रूप से लंबे पेलोड या एन्कोडेड सामग्री वाले अनुरोध।.
• उन एंडपॉइंट्स के लिए अनुरोध जिनमें वर्डप्रेस नॉन्स की कमी है जो उन्हें आवश्यक होना चाहिए।.

ब्राउज़र / प्रशासक-साइड संकेतक

• प्रशासक पृष्ठों में अप्रत्याशित बैनर, नोटिस, या टैग वाले सामग्री दिखाना।.
• प्रशासक नए डैशबोर्ड विजेट या सेटिंग्स देख रहे हैं जो उन्होंने नहीं बनाए।.
• प्रशासक पृष्ठों में संदिग्ध रीडायरेक्ट, मोडल डायलॉग, या प्रमाणीकरण संकेत।.

यदि आप उपरोक्त में से कोई भी पाते हैं, तो इसे संभावित समझौता के रूप में मानें और नीचे दिए गए घटना प्रतिक्रिया चरणों का पालन करें।.

साइट मालिकों को तुरंत उठाने चाहिए कदम (पहले 24–48 घंटे)

यदि आपकी साइट LockerPress ≤ 1.0 चलाती है, तो अभी कार्रवाई करें:

1. अलग करें और मूल्यांकन करें:
   • अस्थायी रूप से साइट को रखरखाव मोड में डालें या प्रशासनिक पहुंच को सीमित करें ताकि यह कम हो सके कि कोई प्रशासनिक उपयोगकर्ता संग्रहीत पेलोड को सक्रिय करे।.
   • फोरेंसिक विश्लेषण के लिए एक पूर्ण बैकअप (फाइलें + डेटाबेस) लें। इस स्नैपशॉट को सुरक्षित रखें; इसे अधिलेखित न करें।.
2. प्लगइन को निष्क्रिय करें:
   • कमजोर कोड के निष्पादन को रोकने और नए इंजेक्शन बिंदुओं को रोकने के लिए तुरंत LockerPress को निष्क्रिय करें।.
   • यदि प्रशासनिक पहुंच उपलब्ध नहीं है, तो SFTP/SSH के माध्यम से प्लगइन निर्देशिका का नाम बदलें (जैसे, wp-content/plugins/lockerpress → lockerpress.disabled)।.
3. संदिग्ध ट्रैफ़िक को ब्लॉक करें:
   • WAF या सर्वर-स्तरीय नियम सक्षम करें (नीचे के परिशिष्ट देखें) जो प्रशासनिक अंत बिंदुओं पर गुमनाम POST को ब्लॉक करते हैं, वैध नॉनसेस के बिना अनुरोध, और सामान्य XSS मार्करों वाले शरीर।.
   • यदि कोई WAF उपलब्ध नहीं है, तो स्थिति के समाधान तक /wp-admin तक पहुंच को IP द्वारा सीमित करें या प्रशासकों के लिए VPN पहुंच की आवश्यकता करें।.
4. क्रेडेंशियल और रहस्यों को घुमाएं:
   • प्रशासकों को लॉग आउट करने और पासवर्ड बदलने की आवश्यकता है। जहां संभव हो, बहु-कारक प्रमाणीकरण लागू करें।.
   • यदि API/तीसरे पक्ष की कुंजियाँ साइट पर या प्लगइन सेटिंग्स में संग्रहीत हैं और यदि वे उजागर हो सकती हैं तो उन्हें बदलें।.
5. समझौते के संकेतों के लिए स्कैन करें:
   • टैग, संदिग्ध HTML, या अस्पष्ट स्ट्रिंग्स के लिए डेटाबेस में खोजें।.
   • नए या संशोधित फ़ाइलों के लिए अपलोड, थीम और प्लगइन निर्देशिकाओं की जांच करें।.
   • अप्रत्याशित प्रविष्टियों के लिए अनुसूचित क्रोन घटनाओं की जांच करें।.
6. यदि समझौता पुष्टि हो गया है तो ज्ञात-अच्छे बैकअप से पुनर्स्थापित करें:
   • यदि सर्वर-साइड स्थिरता (वेबशेल, अनधिकृत प्रशासनिक खाते) की पुष्टि हो गई है, तो समझौते से पहले लिए गए बैकअप से पुनर्स्थापित करें। पुनर्स्थापना के बाद, प्लगइनों को फिर से सक्रिय करने से पहले शमन लागू करें।.
7. निगरानी करें और सबूत को संरक्षित करें:
   • संभावित फोरेंसिक कार्य के लिए कार्यों और सबूतों के विस्तृत लॉग रखें।.
   • एक्सेस लॉग की निगरानी करें और यदि संदिग्ध गतिविधि व्यापक प्रभाव का सुझाव देती है तो अपने होस्टिंग प्रदाता को सूचित करें।.

दीर्घकालिक शमन और मजबूत करना

ये उपाय भविष्य के प्रभाव को कम करते हैं:

• न्यूनतम विशेषाधिकार लागू करें: प्रशासकों की संख्या को न्यूनतम करें और केवल आवश्यक क्षमताएँ प्रदान करें।.
• सभी प्रशासनिक उपयोगकर्ताओं के लिए मल्टी-फैक्टर प्रमाणीकरण की आवश्यकता करें। सभी प्रशासनिक उपयोगकर्ताओं के लिए।.
• प्रशासनिक पहुंच को मजबूत करें: यदि संभव हो तो IP द्वारा /wp-admin और /wp-login.php को प्रतिबंधित करें या VPN एक्सेस की आवश्यकता करें।.
• परीक्षण किए गए बैकअप बनाए रखें। और नियमित रूप से पुनर्स्थापना प्रक्रियाओं को मान्य करें।.
• वर्चुअल पैचिंग क्षमता के साथ एक WAF का उपयोग करें: एक सही तरीके से कॉन्फ़िगर किया गया WAF वास्तविक समय में शोषण प्रयासों को रोक सकता है जबकि आप विक्रेता पैच लागू करते हैं।.
• एक सख्त अपडेट नीति अपनाएं: WordPress कोर, थीम और प्लगइन्स को तुरंत अपडेट करें और उन तृतीय-पक्ष प्लगइन्स के लिए सुरक्षा सलाहकारों की सदस्यता लें जिन पर आप निर्भर हैं।.
• ऑडिट लॉगिंग सक्षम करें: प्रशासनिक क्रियाओं और फ़ाइल परिवर्तनों को लॉग करें ताकि पहचान और प्रतिक्रिया में तेजी लाई जा सके।.
• नियमित रूप से कमजोरियों की स्कैनिंग करें: महत्वपूर्ण प्लगइन्स के लिए स्वचालित स्कैनिंग को मैनुअल कोड समीक्षाओं के साथ मिलाएं।.

प्लगइन डेवलपर्स के लिए मार्गदर्शन (इस प्रकार की बग को कैसे ठीक करें और रोकें)

प्लगइन रखरखाव करने वालों को सुरक्षित विकास प्रथाओं का पालन करना चाहिए:

1. CSRF सुरक्षा: सभी राज्य-परिवर्तन करने वाली क्रियाओं को एक WordPress nonce की पुष्टि करनी चाहिए (प्रशासनिक फ़ॉर्म के लिए check_admin_referer(), कस्टम एंडपॉइंट्स के लिए wp_verify_nonce() )। डेटाबेस में लिखने वाली क्रियाओं के लिए अनधिकृत अनुरोध स्वीकार न करें।.
2. क्षमता जांच: विशेषाधिकार प्राप्त क्रियाएँ करने से पहले current_user_can(…) की पुष्टि करें।.
3. इनपुट सत्यापन और आउटपुट escaping: इनपुट को साफ करें (sanitize_text_field(), wp_kses_post() जहाँ उपयुक्त हो) और रेंडर पर आउटपुट को एस्केप करें (esc_html(), esc_attr(), wp_kses())। कभी भी यह न मानें कि इनपुट सुरक्षित हैं।.
4. न्यूनतम विशेषाधिकार: एंडपॉइंट्स को आवश्यक न्यूनतम क्षमता तक सीमित करें।.
5. मानक WordPress APIs का उपयोग करें: सेटिंग्स API, विकल्प API और नॉनस APIs कस्टम कोड की गलतियों को कम करते हैं।.
6. लॉगिंग और निगरानी: प्रशासनिक परिवर्तनों का लॉग रखें और असामान्य गतिविधियों पर अलर्ट करें।.
7. जिम्मेदार प्रकटीकरण: कमजोरियों की रिपोर्ट पर जल्दी प्रतिक्रिया दें, सुधार प्रदान करें, और समयसीमा संप्रेषित करें। जहाँ उपयुक्त हो, हॉटफिक्स या शमन तैयार करें।.

घटना प्रतिक्रिया चेकलिस्ट (चरण-दर-चरण)

यदि आप समझौता की पुष्टि करते हैं, तो इस अनुक्रम का पालन करें:

1. रोकथाम:
   • साइट को रखरखाव मोड में डालें या अस्थायी रूप से आईपी द्वारा प्रशासनिक पहुंच को सीमित करें।.
   • कमजोर प्लगइन को निष्क्रिय या हटा दें।.
2. साक्ष्य संरक्षण:
   • लॉग्स (वेब सर्वर, PHP, एक्सेस लॉग) को निर्यात करें और फ़ाइलों और डेटाबेस का स्नैपशॉट बैकअप लें।.
   • टाइमस्टैम्प, आईपी पते, और देखे गए दुर्भावनापूर्ण संकेतकों का दस्तावेजीकरण करें।.
3. उन्मूलन:
   • दुर्भावनापूर्ण फ़ाइलों और बैकडोर को हटा दें (विशेषज्ञ सहायता के साथ करना बेहतर है)।.
   • इंजेक्टेड डेटाबेस प्रविष्टियों को साफ करें और अनधिकृत उपयोगकर्ताओं को हटा दें।.
   • समझौता की गई फ़ाइलों को ज्ञात-स्वच्छ प्रतियों से बदलें या विश्वसनीय स्रोतों से WordPress कोर और प्लगइन्स को फिर से स्थापित करें।.
4. पुनर्प्राप्ति:
   • सभी व्यवस्थापक पासवर्ड और रहस्यों को बदलें।.
   • विक्रेता द्वारा आधिकारिक सुधार जारी करने के बाद प्लगइन्स को फिर से स्थापित या अपडेट करें।.
   • सेवाओं को फिर से सक्षम करें और पुनरावृत्ति के लिए निकटता से निगरानी करें।.
5. घटना के बाद:
   • एक पूर्ण सुरक्षा समीक्षा करें और अतिरिक्त सख्ती लागू करें (2FA, IP प्रतिबंध, न्यूनतम विशेषाधिकार)।.
   • अधिक प्रतिबंधात्मक फ़ाइल अनुमतियों पर विचार करें और फ़ाइल अखंडता निगरानी सुनिश्चित करें।.

परिशिष्ट: सुझाए गए WAF नियम और पहचान हस्ताक्षर (गैर-शोषणकारी)

नीचे सुरक्षित, उच्च-स्तरीय उदाहरण हैं कि एक WAF या सर्वर-स्तरीय फ़िल्टर CSRF → संग्रहीत XSS श्रृंखलाओं को कम करने के लिए क्या लागू कर सकता है। अपने वातावरण के अनुसार अनुकूलित करें और झूठे सकारात्मक के लिए देखें।.

1. केवल व्यवस्थापक के लिए प्लगइन अंत बिंदुओं पर गुमनाम POST को अवरुद्ध करें:
   • अनुरोधों को URLs जैसे /wp-admin/admin-post.php?action=lockerpress_* या /wp-admin/options.php?page=lockerpress से मिलाएं और एक मान्य सत्र कुकी की आवश्यकता करें; यदि अनुरोध में अपेक्षित व्यवस्थापक कुकी की कमी है तो अवरुद्ध करें।.
2. बिना मान्य nonce के प्लगइन विकल्प सेट करने या अपडेट करने का प्रयास करने वाले अनुरोधों को अवरुद्ध करें:
   • प्लगइन क्रियाओं के लिए POST में _wpnonce की अनुपस्थिति या एक अमान्य nonce का पता लगाएं।.
3. सामान्य स्क्रिप्ट-इंजेक्शन पैटर्न को अवरुद्ध करके संग्रहीत XSS पेलोड को कम करें:
   • POST/GET शरीर को अवरुद्ध करें जिसमें , javascript:, या भारी रूप से अस्पष्ट पेलोड होते हैं जो व्यवस्थापक दृश्य में प्रिंट किए जाने के लिए ज्ञात विकल्प कुंजी पर लिखे जा रहे हैं।.
   • संदर्भात्मक अवरोध लागू करें: केवल उन पैटर्न को लक्षित करें जब व्यवस्थापक-दृश्यमान विकल्प कुंजी पर लिखा जा रहा हो।.
4. असामान्य POST स्पाइक्स की दर-सीमा और निगरानी करें:
   • IP द्वारा व्यवस्थापक अंत बिंदुओं पर POST को थ्रॉटल करें और असामान्य मात्रा को चिह्नित करें।.
5. संदिग्ध संदर्भित करने वालों के साथ अनुरोधों को अवरुद्ध करें:
   • यदि राज्य-परिवर्तन करने वाला अनुरोध एक बाहरी साइट (आपके डोमेन नहीं) से उत्पन्न होता है, तो सख्त सत्यापन लागू करें या अनुरोध को अवरुद्ध करें।.
6. आउटपुट-आधारित निष्पादन का पता लगाएं:
   • ज्ञात प्लगइन व्यवस्थापक पृष्ठों पर इंजेक्टेड इनलाइन स्क्रिप्ट के लिए व्यवस्थापक पृष्ठ प्रतिक्रियाओं की निगरानी करें और मानव समीक्षा के लिए तात्कालिक अलर्ट उत्पन्न करें।.

नोट: एक WAF एक महत्वपूर्ण शमन परत है लेकिन सुरक्षित कोडिंग का विकल्प नहीं है। वेंडर द्वारा प्रदान किए गए फिक्स लागू और सत्यापित होने के बाद वर्चुअल पैच और नियमों को हटा दिया जाना चाहिए।.

अंतिम नोट्स

• यदि आप किसी साइट पर LockerPress का उपयोग करते हैं, तो इस सलाह को गंभीरता से लें। भले ही विक्रेता ने अभी तक एक आधिकारिक पैच प्रकाशित नहीं किया है, ऊपर दिए गए containment कदमों का पालन करें।.
• परतदार रक्षा का उपयोग करें: हार्डनिंग, एक्सेस नियंत्रण, 2FA, विश्वसनीय बैकअप, और निगरानी।.
• यदि आप ट्रायज या सफाई करने में आत्मविश्वास नहीं रखते हैं, तो पेशेवर घटना प्रतिक्रिया या अनुभवी वर्डप्रेस सुरक्षा सहायता प्राप्त करें।.

सतर्क रहें। वेब अवसरवादी है - CSRF-से-स्टोर-XSS श्रृंखलाएँ सक्रिय रूप से जंगली में लक्षित की जाती हैं। सही, परतदार रक्षा आपके वर्डप्रेस साइट को सुरक्षित रखने का सबसे अच्छा तरीका है।.

— एक हांगकांग सुरक्षा पेशेवर