fyyd पॉडकास्ट शॉर्टकोड में प्रमाणित योगदानकर्ता द्वारा संग्रहीत XSS (<= 0.3.1) — वर्डप्रेस साइट मालिकों को अब क्या करना चाहिए

हांगकांग सुरक्षा विशेषज्ञ द्वारा — 2026-03-23

TL;DR

एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता (CVE-2026-4084) वर्डप्रेस प्लगइन “fyyd पॉडकास्ट शॉर्टकोड” को संस्करण 0.3.1 तक प्रभावित करती है। एक प्रमाणित उपयोगकर्ता जिसे योगदानकर्ता की भूमिका दी गई है, शॉर्टकोड के माध्यम से HTML/JavaScript इंजेक्ट कर सकता है रंग विशेषता जो अन्य उपयोगकर्ताओं के ब्राउज़रों में संग्रहीत और निष्पादित हो सकती है। इस मुद्दे की CVSS जैसी गंभीरता 6.5 (मध्यम) है, अक्सर उपयोगकर्ता इंटरैक्शन की आवश्यकता होती है, और — इस प्रकाशन के समय — कोई आधिकारिक पैच उपलब्ध नहीं है।.

यदि यह प्लगइन आपकी साइट पर है: इसे उच्च प्राथमिकता की जांच के रूप में मानें। शॉर्टकोड के उदाहरणों का ऑडिट करें, संभावित जोखिमों को नियंत्रित करें, और सुरक्षा अपडेट जारी होने तक शमन लागू करें (शॉर्टकोड रेंडरिंग को अक्षम करें, योगदानकर्ता विशेषाधिकारों को सीमित करें, WAF नियम जोड़ें, या प्लगइन हटा दें)। नीचे दिए गए मार्गदर्शन में पहचान, नियंत्रण, पुनर्प्राप्ति और व्यावहारिक वर्चुअल-पैचिंग विचार शामिल हैं।.

यह क्यों महत्वपूर्ण है: संग्रहीत XSS केवल “कॉस्मेटिक” नहीं है”

संग्रहीत XSS तब होता है जब एक हमलावर एक पेलोड इंजेक्ट करता है जो साइट पर सहेजा जाता है (उदाहरण के लिए, पोस्ट सामग्री या प्लगइन-प्रबंधित फ़ील्ड में) और बाद में किसी अन्य उपयोगकर्ता के ब्राउज़र में प्रस्तुत किया जाता है। परावर्तित XSS के विपरीत, संग्रहीत पेलोड स्थायी होते हैं और समय के साथ प्रशासकों और संपादकों को लक्षित कर सकते हैं।.

• भेद्यता को एक योगदानकर्ता-स्तरीय खाते द्वारा सक्रिय किया जा सकता है — यह भूमिका आमतौर पर अतिथि लेखकों और बाहरी सामग्री निर्माताओं को दी जाती है।.
• एक व्यापक रूप से सुलभ रेंडरिंग संदर्भ में संग्रहीत XSS सत्र चोरी, विशेषाधिकार वृद्धि, खाता अधिग्रहण, सामग्री इंजेक्शन, या मैलवेयर वितरण का परिणाम बन सकता है।.
• हालांकि शोषण अक्सर विशेषाधिकार प्राप्त उपयोगकर्ताओं द्वारा सामग्री का पूर्वावलोकन या समीक्षा करने पर निर्भर करता है (इसलिए “उपयोगकर्ता इंटरैक्शन की आवश्यकता है”), योगदानकर्ताओं का संपादकीय कार्यप्रवाह में सामान्यत: उपयोग किया जाता है, जो कई साइटों के लिए वेक्टर को व्यावहारिक बनाता है।.

किस पर प्रभाव पड़ता है

• “fyyd पॉडकास्ट शॉर्टकोड” प्लगइन संस्करण 0.3.1 या उससे कम चलाने वाली साइटें।.
• साइटें जो योगदानकर्ता भूमिका (या समान विशेषाधिकार प्राप्त भूमिकाएँ जो शॉर्टकोड-धारक सामग्री प्रस्तुत कर सकती हैं) की अनुमति देती हैं।.
• साइटें जहाँ प्लगइन शॉर्टकोड उन संदर्भों में प्रस्तुत किए जाते हैं जिन्हें संपादक, प्रशासक, या प्रमाणित उपयोगकर्ता देखते हैं (पूर्वावलोकन पृष्ठों सहित)।.

यदि आप सुनिश्चित नहीं हैं कि आपकी साइट प्लगइन के शॉर्टकोड को प्रस्तुत करती है या आपके पास योगदानकर्ता हैं, तो तुरंत जांच करें।.

तकनीकी सारांश (गैर-शोषणकारी)

• कमजोरी प्रकार: स्टोर्ड क्रॉस-साइट स्क्रिप्टिंग (XSS)।.
• प्रभावित घटक: शॉर्टकोड विशेषता हैंडलिंग (द रंग विशेषता)।.
• आवश्यक विशेषाधिकार: योगदानकर्ता (प्रमाणित)।.
• परिणाम: संग्रहीत सामग्री में दुर्भावनापूर्ण स्क्रिप्ट या मार्कअप इंजेक्ट किया गया जो पीड़ितों के ब्राउज़रों में निष्पादित होता है।.
• CVE: CVE-2026-4084.
• पैच स्थिति (प्रकाशन के समय): कोई आधिकारिक पैच उपलब्ध नहीं है।.

प्लगइन शॉर्टकोड के लिए मान स्वीकार करता है रंग विशेषता और बाद में उन्हें उचित सफाई/एस्केपिंग के बिना आउटपुट करता है। बिना एस्केपिंग के संग्रहीत और इको किया गया अविश्वसनीय इनपुट संग्रहीत XSS की अनुमति देता है।.

सामान्य शोषण परिदृश्य

• एक दुर्भावनापूर्ण योगदानकर्ता एक पोस्ट प्रस्तुत करता है जिसमें कमजोर शॉर्टकोड होता है जिसमें एक तैयार की गई रंग विशेषता होती है जो HTML या JavaScript शामिल करती है।.
• एक संपादक या प्रशासक सामग्री का पूर्वावलोकन या समीक्षा करता है, जिससे संग्रहीत पेलोड उनके ब्राउज़र में निष्पादित होता है।.
• एक प्रशासक/संपादक संदर्भ से, पेलोड सत्र टोकन पढ़ने, AJAX/REST API के माध्यम से प्रमाणित क्रियाएँ करने, खातों को बनाने या बढ़ाने, बैकडोर इंजेक्ट करने, या व्यापक समझौते की ओर बढ़ने का प्रयास कर सकता है।.

भले ही तत्काल प्रशासनिक परिवर्तन संभव न हों, संग्रहीत XSS को सामाजिक इंजीनियरिंग या ब्राउज़र बग के साथ प्रभावशाली परिणामों के लिए जोड़ा जा सकता है।.

तत्काल, व्यावहारिक शमन कदम (अभी क्या करना है)

1. योगदानकर्ता पहुंच का इन्वेंटरी और प्रतिबंधित करें
   अविश्वसनीय उपयोगकर्ताओं के लिए योगदानकर्ता विशेषाधिकार अस्थायी रूप से रद्द करें। बाहरी लेखकों को उन भूमिकाओं में परिवर्तित करें जो बिना सख्त समीक्षा के सामग्री प्रस्तुत नहीं कर सकते। संदिग्ध खातों का ऑडिट करें और हटाएं।.
2. कमजोर प्लगइन के लिए शॉर्टकोड रेंडरिंग बंद करें
   यदि आपको शॉर्टकोड की आवश्यकता नहीं है, तो उन्हें हटा दें या पैच होने तक प्लगइन को निष्क्रिय करें। शॉर्टकोड आउटपुट को हटाने या निष्क्रिय करने के लिए एक छोटा mu-plugin लागू करें (नीचे उदाहरण)।.
3. WAF के माध्यम से आभासी पैचिंग लागू करें
   WAF नियम जोड़ें जो रंग विशेषता में दुर्भावनापूर्ण पैटर्न का पता लगाते और अवरुद्ध करते हैं (WAF नियम सुझाव देखें)। स्क्रिप्ट-जैसे सामग्री को संग्रहीत करने के प्रयासों के लिए अनुरोध-स्तरीय सफाई या अवरोध लागू करें।.
4. संग्रहीत सामग्री की खोज और समीक्षा करें
   शॉर्टकोड की घटनाओं के लिए डेटाबेस में खोजें और उम्मीदवारों की मैन्युअल समीक्षा करें। संदिग्ध सामग्री को साफ करें या हटा दें।.
5. निगरानी और लॉगिंग सक्षम करें
   प्रशासक गतिविधि के लिए विस्तृत लॉगिंग चालू करें और असामान्य पंजीकरण, सामग्री प्रस्तुतियों, या REST API गतिविधियों की निगरानी करें।.
6. बैकअप और पुनर्स्थापना योजना
   सुनिश्चित करें कि आप सामूहिक परिवर्तनों को करने से पहले एक साफ बैकअप रखें। यदि समझौता पुष्टि हो जाता है, तो ज्ञात-साफ स्नैपशॉट पर पुनर्स्थापित करने पर विचार करें।.

पहचान: संदिग्ध सामग्री कैसे खोजें

उन पोस्ट या मेटा के लिए खोजें जिनमें प्लगइन शॉर्टकोड और संदिग्ध विशेषताएँ शामिल हैं। सुरक्षित, रक्षात्मक क्वेरी का उपयोग करें और उन्हें अपने वातावरण के अनुसार अनुकूलित करें:

• WP-CLI (गति के लिए अनुशंसित):

  wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%color=%' AND post_status != 'auto-draft';"

• MySQL / phpMyAdmin:

  SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%[fyyd%' OR post_content LIKE '%color=%';

• Grep (शेल):

  grep -R --line-number "\[fyyd" wp-content > shortcodes-found.txt

• अंदर संदिग्ध पैटर्न की तलाश करें रंग if ( ! current_user_can( 'edit_shop_order', $order_id ) ) { 9. या विशेषताओं जैसे onload=, जावास्क्रिप्ट:, 11. साइट मालिकों के लिए तात्कालिक कदम, त्रुटि होने पर=, ><, या अप्रत्याशित उद्धरण संयोजनों।.

समीक्षा करते समय, एक सैंडबॉक्स वातावरण या केवल पाठ दृश्य का उपयोग करें - संदिग्ध पेलोड को प्रशासनिक ब्राउज़र सत्र में न खोलें।.

प्लगइन को साफ और मजबूत करने का तरीका (डेवलपर मार्गदर्शन)

यदि आप प्लगइन का रखरखाव करते हैं या सुधारों का प्रस्ताव कर सकते हैं, तो इन सुरक्षित प्रथाओं को अपनाएँ:

1. रंगों के लिए व्हाइटलिस्ट मान्यता
   केवल सख्त प्रारूप स्वीकार करें। हेक्स रंगों के लिए, एक सख्त regex के साथ मान्यता दें (जैसे, #RGB या #RRGGBB स्वीकार करें) या नामित रंगों की एक व्हाइटलिस्ट लागू करें।.
2. इनपुट को सही तरीके से साफ करें
   WordPress सैनीटाइजर्स का उपयोग करें (जैसे, sanitize_text_field, esc_url_raw जहां उपयुक्त हो)।.
3. 13. आउटपुट पर एस्केप करें
   आउटपुट को संदर्भ के अनुसार एस्केप करें: esc_attr विशेषताओं के लिए, esc_html पाठ नोड्स के लिए। यदि इनलाइन शैलियों में इंजेक्ट कर रहे हैं, तो सख्ती से मान्यता दें और एस्केप करें।.
4. शॉर्टकोड API का रक्षात्मक रूप से उपयोग करें
   उपयोग करें शॉर्टकोड_एट्स सुरक्षित डिफ़ॉल्ट के साथ, सभी विशेषताओं को मान्य करें, और कच्ची विशेषताओं को इको करने से बचें।.
5. उपयोगकर्ता-नियंत्रित HTML को स्टोर करने से बचें
   न्यूनतम डेटा स्टोर करें; जहां संभव हो, रनटाइम पर सुरक्षित HTML रेंडर करें।.
6. क्षमता जांच
   सुनिश्चित करें कि केवल विश्वसनीय अभिनेता सामग्री बना या संशोधित कर सकते हैं जो विशेषाधिकार प्राप्त संदर्भों में निष्पादित हो सकती है (उपयोग करें current_user_can उपयुक्त स्थानों पर जांचें)।.

यदि प्लगइन लेखक प्रतिक्रिया नहीं देता है और आप एक साइट को सुरक्षित करने के लिए अनुबंधित हैं, तो एक छोटा संगतता पैच लागू करने पर विचार करें जो ऑन-द-फ्लाई विशेषताओं को साफ करता है जब तक कि एक अपस्ट्रीम फिक्स प्रकाशित नहीं होता।.

WAF नियम सुझाव (वर्चुअल पैचिंग)

यदि आप एक WAF (प्लगइन-आधारित, होस्ट-स्तरीय, या रिवर्स प्रॉक्सी) का प्रबंधन करते हैं, तो आप लक्षित नियमों के साथ जोखिम को कम कर सकते हैं। गलत सकारात्मक से बचने के लिए नियमों का परीक्षण स्टेजिंग में करें।.

1. रंग विशेषताओं में स्क्रिप्ट टैग या कोणीय ब्रैकेट को ब्लॉक करें
   यदि एक अनुरोध में रंग= इसके बाद <, >, या script, है, तो ब्लॉक या साफ करें।.

   यदि request_body 'color=' शामिल है और request_body REGEX_MATCHES /color\s*=\s*["']?[^"']*(|script|javascript:|on\w+=)/i THEN ब्लॉक करें

2. इवेंट हैंडलर्स को ब्लॉक करें
   रोकें 11. साइट मालिकों के लिए तात्कालिक कदम, onclick= और समान जो विशेषता मानों के अंदर दिखाई देते हैं।.
3. javascript: उप-प्रोटोकॉल को अस्वीकार करें
   उन अनुरोधों को अवरुद्ध करें जहाँ जावास्क्रिप्ट: जो विशेषता मानों के अंदर दिखाई देता है जो रंग होने के लिए निर्धारित हैं।.
4. विशेषताओं के अंदर टैग को अस्वीकार करें
   उन पेलोड्स को अस्वीकार करें जो शामिल हैं < या > विशेषताओं के मानों में वर्ण।.
5. योगदानकर्ता द्वारा बनाए गए पोस्ट पर दर-सीमा लगाएं
   जब योगदानकर्ता खाते सामग्री बनाते हैं तो थ्रॉटलिंग लागू करें या समीक्षा की आवश्यकता करें।.
6. संदिग्ध प्रशासन-पृष्ठ रेंडर पर अलर्ट करें
   जब प्रशासन/संपादक पृष्ठ जोखिम भरे विशेषताओं वाली सामग्री रेंडर करें तो अलर्ट बनाएं।.

इन पैटर्न को अपने WAF सिंटैक्स में अनुकूलित करें और नियमों को अपने वातावरण के अनुसार समायोजित करें।.

प्रतिक्रिया और पुनर्प्राप्ति चेकलिस्ट (चरण-दर-चरण)

1. अलग करें
   प्लगइन को निष्क्रिय करें या शॉर्टकोड को निष्क्रिय करें। यदि व्यापक समझौता संदेह है, तो साइट को ऑफलाइन लेने या जांच करते समय रखरखाव पृष्ठ दिखाने पर विचार करें।.
2. जांचें
   पहचान खोजें चलाएं, हाल के संपादनों/संशोधनों/लंबित प्रस्तुतियों की जांच करें, और उपयोगकर्ता गतिविधि लॉग की समीक्षा करें।.
3. हटा दें या निष्क्रिय करें
   दुर्भावनापूर्ण सामग्री को हटा दें या स्वच्छ संशोधनों पर वापस लौटें।.
4. सीमित करें और स्वच्छ करें
   अज्ञात प्रशासन/संपादक खातों को हटा दें, प्रशासन क्रेडेंशियल्स को घुमाएं, यदि आवश्यक हो तो API कुंजियाँ फिर से जारी करें, और यदि डेटा पहुंच के सबूत हैं तो डेटाबेस पासवर्ड बदलें।.
5. साफ करें और सत्यापित करें
   वेबशेल और इंजेक्टेड फ़ाइलों के लिए स्कैन करें। ज्ञात-स्वच्छ स्रोतों के खिलाफ कोर, थीम, और प्लगइन फ़ाइलों की पुष्टि करें।.
6. यदि आवश्यक हो तो पुनर्स्थापित करें
   यदि लगातार संशोधन मौजूद हैं, तो घटना से पहले बनाए गए ज्ञात-स्वच्छ बैकअप से पुनर्स्थापित करें।.
7. घटना के बाद की मजबूती
   WAF नियम लागू करें, भूमिकाओं को लॉक करें, न्यूनतम विशेषाधिकार लागू करें, विशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए दो-कारक प्रमाणीकरण सक्षम करें, और नियमित स्कैन का कार्यक्रम बनाएं।.
8. दस्तावेज़ करें
   भविष्य की रोकथाम और फोरेंसिक्स के लिए खोजों और सुधारात्मक कदमों का विस्तृत समयरेखा रखें।.

अपने डेटाबेस में कैसे खोजें (उदाहरण)

हमेशा डेटाबेस का बैकअप लें और स्टेजिंग वातावरण में कमांड का परीक्षण करें।.

• WP-CLI:

  wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%[fyyd%' LIMIT 500;"

• SQL उदाहरण:

  SELECT ID, post_title, post_date FROM wp_posts WHERE post_content LIKE '%color=%' ORDER BY post_date DESC LIMIT 200;

जोखिम मूल्यांकन - “कम प्राथमिकता” और CVSS 6.5 का व्यावहारिक अर्थ क्या है

संदर्भ प्राथमिकता निर्धारित करता है। 6.5 के आसपास का स्कोर आवश्यक विशेषाधिकार और शोषण जटिलता को दर्शाता है, लेकिन:

• यदि कई प्रशासक/संपादक नियमित रूप से योगदानकर्ता द्वारा प्रस्तुत सामग्री का पूर्वावलोकन करते हैं, तो जोखिम बढ़ जाता है।.
• कई योगदानकर्ताओं वाले सामुदायिक साइटें संग्रहीत XSS को बड़े पैमाने पर हथियार बना सकती हैं।.
• यदि शॉर्टकोड उच्च-ट्रैफ़िक पृष्ठों पर दिखाई देते हैं जो प्रमाणीकरण किए गए उपयोगकर्ताओं द्वारा देखे जाते हैं जिनके पास उच्च विशेषाधिकार हैं, तो प्रभाव बढ़ता है।.

साइट के मालिकों के लिए: जोखिम-आधारित दृष्टिकोण अपनाएं। यदि कमजोर वेक्टर प्रशासकों या संपादकों तक पहुंचता है, तो इसे नाममात्र स्कोर के बावजूद उच्च प्राथमिकता के रूप में मानें।.

दीर्घकालिक रोकथाम: नीतियाँ और सर्वोत्तम प्रथाएँ

1. न्यूनतम विशेषाधिकार का सिद्धांत - केवल आवश्यक भूमिकाएँ और क्षमताएँ प्रदान करें।.
2. प्लगइन स्वच्छता - अप्रयुक्त प्लगइन्स को हटा दें और महत्वपूर्ण प्लगइन्स की नियमित रूप से समीक्षा करें।.
3. कोड ऑडिटिंग - प्लगइन्स के लिए इनपुट मान्यता, एस्केपिंग, और स्वचालित परीक्षण लागू करें।.
4. रक्षा की कई परतें - WAFs, होस्ट हार्डनिंग, समय पर अपडेट, और मजबूत प्रमाणीकरण।.
5. अनुसूचित स्कैनिंग और निगरानी - आवधिक XSS स्कैन और फ़ाइल अखंडता निगरानी।.

सुरक्षित शमन स्निपेट का उदाहरण (mu-plugin)

कमजोर शॉर्टकोड को निष्क्रिय करने के लिए इस अस्थायी mu-plugin का उपयोग करें। प्रतिस्थापित करें fyyd_shortcode_name प्लगइन द्वारा उपयोग किए गए वास्तविक शॉर्टकोड टैग के साथ।.

<?php;

सामग्री स्वच्छता के व्यावहारिक उदाहरण (डेवलपर मार्गदर्शन)

• हेक्स रंगों को मान्य करें:

  $color = isset( $atts['color'] ) ? sanitize_text_field( $atts['color'] ) : '';

• उपयोग करें esc_attr() विशेषताओं के लिए और esc_html() टेक्स्ट नोड्स के लिए।.
• आवश्यकतानुसार नामित रंगों के छोटे सेट को व्हाइटलिस्ट करें।.

घटना परिदृश्य: साइट के मालिक को अपनी टीम को क्या बताना चाहिए

• संपादकों और प्रशासकों से कहें कि वे सामग्री की पुष्टि होने तक अज्ञात पोस्ट या पूर्वावलोकन न खोलें।.
• जांच के दौरान योगदानकर्ताओं से प्रकाशन को रोकें।.
• विशेषाधिकार प्राप्त उपयोगकर्ताओं को पासवर्ड बदलने और 2FA सक्षम करने की आवश्यकता है।.
• यदि सर्वर-स्तरीय सहायता की आवश्यकता हो तो अपने होस्टिंग प्रदाता या रखे गए सुरक्षा सलाहकार को सूचित करें।.

क्यों योगदानकर्ता भूमिका का सामान्य रूप से दुरुपयोग किया जाता है

योगदानकर्ता अक्सर पोस्ट बना और संपादित कर सकते हैं लेकिन प्रकाशित नहीं कर सकते। वे सामग्री प्रस्तुत कर सकते हैं जिसमें शॉर्टकोड होते हैं जो संपादकों तक पूर्वावलोकनों में पहुंचते हैं। हमलावर इस पर भरोसा करते हैं कि वे विश्वसनीय योगदानकर्ता खातों को बनाने के लिए। क्योंकि वेक्टर को केवल एक योगदानकर्ता खाते की आवश्यकता होती है, एक हमलावर साइट पर पेलोड को बनाए रखने का प्रयास कर सकता है।.

अंतिम सिफारिशें (क्या प्राथमिकता दें, क्रम में)

1. तुरंत योगदानकर्ता गतिविधि को प्रतिबंधित करें और खातों का ऑडिट करें।.
2. कमजोर शॉर्टकोड को निष्क्रिय या निष्क्रिय करें (अस्थायी मु-प्लगइन या प्लगइन को हटा दें)।.
3. सामग्री खोजें और उन पोस्टों की मैन्युअल समीक्षा करें जिनमें प्लगइन शॉर्टकोड या रंग= विशेषताएँ।.
4. आने वाले अनुरोधों और संग्रहीत सामग्री में स्क्रिप्ट-जैसे पेलोड को अवरुद्ध करने के लिए WAF नियम लागू करें (वर्चुअल पैच)।.
5. विशेष उपयोगकर्ताओं के लिए क्रेडेंशियल्स को घुमाएँ और 2FA सक्षम करें।.
6. यदि आपको शोषण के सबूत मिलते हैं, तो एक साफ बैकअप से पुनर्स्थापित करें और फोरेंसिक मूल्यांकन करें।.

समापन विचार

शॉर्टकोड-आधारित प्लगइन्स सुविधाजनक होते हैं लेकिन जब विशेषता प्रबंधन ढीला होता है तो हमले की सतह बढ़ जाती है। योगदानकर्ता कार्यप्रवाहों की प्रचलन को देखते हुए, यह प्रकार की भेद्यता प्रकाशकों और संपादकीय प्लेटफार्मों के लिए विशेष रूप से प्रासंगिक है। एक व्यावहारिक दृष्टिकोण अपनाएँ: प्लगइन उपयोग का इन्वेंटरी करें, अनावश्यक प्लगइन्स को अक्षम या हटा दें, आभासी पैच लागू करें, और संदिग्ध सामग्री की खोज करें। परतों की रक्षा करें - भूमिका सख्ती, WAF नियम, निगरानी, और विश्वसनीय बैकअप - ताकि एकल संग्रहीत XSS के पूर्ण समझौते की संभावना कम हो सके।.

यदि आपको सहायता की आवश्यकता है, तो आभासी पैच लागू करने, केंद्रित खोजें चलाने, और पुनर्प्राप्ति कार्य करने के लिए एक योग्य सुरक्षा पेशेवर या घटना प्रतिक्रियाकर्ता से संपर्क करें।.

संदर्भ और आगे की पढ़ाई

• सामान्य XSS रोकथाम: इनपुट को साफ करें, व्हाइटलिस्ट द्वारा मान्य करें, और आउटपुट को एस्केप करें।.
• वर्डप्रेस डेवलपर दस्तावेज़: उपयोग करें sanitize_text_field, esc_attr, और शॉर्टकोड API को सही ढंग से।.
• घटना प्रतिक्रिया: इन्वेंटरी, अलग करें, सुधारें, पुनर्प्राप्त करें, और सख्त करें।.

यदि सहायक हो, तो हम सटीक WP‑CLI प्रश्नों के साथ एक संक्षिप्त चेकलिस्ट, एक सुरक्षित mu-plugin जिसे आप लागू कर सकते हैं, और सामान्य होस्टिंग वातावरण के लिए ट्यून किए गए WAF नियम उदाहरण तैयार कर सकते हैं - इनको आपकी साइट के लिए अनुकूलित करने के लिए एक योग्य सलाहकार से संपर्क करें।.