TL;DR (यदि आप केवल एक चीज पढ़ते हैं)

• बीवर बिल्डर में एक स्टोर किया गया XSS (<= 2.10.0.5) कुछ वैश्विक सेटिंग्स के रेंडर होने पर प्रशासनिक और सार्वजनिक संदर्भों में स्टोर किया गया जावास्क्रिप्ट निष्पादित करने की अनुमति दे सकता है।.
• समाधान: तुरंत बीवर बिल्डर को 2.10.0.6 में अपडेट करें (या अगली उपलब्ध रिलीज़ जो पैच शामिल करती है)।.
• यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो शमन लागू करें: बीवर बिल्डर सेटिंग्स तक पहुंच को सीमित करें, कस्टम भूमिकाओं और क्षमताओं का ऑडिट करें, और वर्चुअल पैचिंग/WAF नियमों को सक्षम करें जो प्लगइन सेटिंग्स एंडपॉइंट्स पर स्क्रिप्ट-जैसे इनपुट को ब्लॉक करते हैं।.
• एक स्तरित दृष्टिकोण का उपयोग करें: पैचिंग + न्यूनतम विशेषाधिकार का सिद्धांत + WAF/एज नियम + स्कैनिंग + निगरानी।.

क्या हुआ (साधारण भाषा)

शोधकर्ताओं ने पाया कि बीवर बिल्डर की वैश्विक सेटिंग्स का प्रबंधन प्रमाणित उपयोगकर्ताओं (कुछ कस्टम भूमिकाओं के साथ) को ऐसा सामग्री सहेजने की अनुमति देता है जो ठीक से अधिकृत या स्वच्छ नहीं होती। वह सहेजी गई सामग्री HTML/JavaScript शामिल कर सकती है जो बाद में एक ब्राउज़र में रेंडर और निष्पादित होती है — एक स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी।.

व्यावहारिक रूप से, एक हमलावर को आपकी साइट पर एक खाता चाहिए जिसमें बीवर बिल्डर की वैश्विक सेटिंग्स को संशोधित करने की भूमिका हो। यदि उस खाते को एक निर्दोष क्रिया (एक तैयार लिंक पर क्लिक करना या एक दुर्भावनापूर्ण पृष्ठ पर जाना) करने के लिए धोखा दिया जाता है, तो एक पेलोड स्टोर किया जा सकता है और जब भी एक प्रशासक या आगंतुक उस पृष्ठ को लोड करता है जहां उन सेटिंग्स का उपयोग किया जाता है, तो यह निष्पादित होगा।.

प्लगइन लेखक ने एक ठीक किया हुआ संस्करण जारी किया है: 2.10.0.6 या बाद में अपडेट करें।.

त्वरित तथ्य पत्रक

• प्रभावित प्लगइन: बीवर बिल्डर (पृष्ठ बिल्डर प्लगइन)
• कमजोर संस्करण: <= 2.10.0.5
• में ठीक किया गया: 2.10.0.6
• CVE: CVE-2026-1231
• भेद्यता प्रकार: स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS)
• CVSS (रिपोर्ट किया गया): 6.5 (AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:L)
• आवश्यक विशेषाधिकार: एक कस्टम भूमिका या एक भूमिका जो वैश्विक बीवर बिल्डर सेटिंग्स को संशोधित कर सकती है (गैर-जनता)
• शोषण के लिए उपयोगकर्ता इंटरैक्शन और संबंधित क्षमता के साथ एक प्रमाणित खाता आवश्यक है।.

यह आपके साइट के लिए क्यों महत्वपूर्ण है

स्टोर किया गया XSS खतरनाक है क्योंकि साइट सेटिंग्स में सहेजा गया दुर्भावनापूर्ण स्क्रिप्ट प्रभावित कर सकता है:

• प्रशासक और साइट संपादक जो प्रशासन स्क्रीन देखते हैं (इंजेक्टेड UI या छिपे हुए तत्वों के माध्यम से क्रेडेंशियल चोरी का जोखिम)।.
• साइट विज़िटर (यदि स्टोर किया गया पेलोड सार्वजनिक पृष्ठों पर प्रदर्शित होता है), रीडायरेक्ट, फॉर्म स्किमिंग, मैलवेयर वितरण, SEO स्पैम, या विकृति को सक्षम करना।.
• मल्टी-साइट या एजेंसी वातावरण जहां योगदानकर्ता या तीसरे पक्ष के खातों को उच्च पहुंच दी जा सकती है।.

हालांकि शोषण के लिए एक प्रमाणित खाता और उपयोगकर्ता इंटरैक्शन की आवश्यकता होती है, कई साइटों में कमजोर भूमिका विभाजन होता है या कस्टम भूमिकाएँ बनाने वाले तीसरे पक्ष के ठेकेदारों और प्लगइन्स का उपयोग होता है; ये जोखिम को बढ़ाते हैं।.

तकनीकी मूल कारण (संक्षिप्त)

• वैश्विक सेटिंग्स में संशोधन की अनुमति देने के लिए अनुपस्थित या अपर्याप्त प्राधिकरण जांच।.
• उन सेटिंग्स में सहेजे गए इनपुट को ठीक से साफ/एस्केप नहीं किया गया था, जिससे निष्पादन योग्य मार्कअप की अनुमति मिली (उदाहरण के लिए, टैग या इवेंट-हैंडलर विशेषताएँ)।.
• जब उन सेटिंग्स को बाद में प्रशासन या फ्रंट-एंड आउटपुट में प्रदर्शित किया गया, तो सहेजा गया मार्कअप दर्शक के ब्राउज़र संदर्भ में निष्पादित हुआ।.

संक्षेप में: अनुपस्थित प्राधिकरण + अपर्याप्त आउटपुट एस्केपिंग = स्टोर किया गया XSS।.

एक हमलावर इसे (सिद्धांत रूप से) कैसे दुरुपयोग कर सकता है

मैं प्रमाण-के-धारणा प्रकाशित नहीं करूंगा, लेकिन संभावित परिदृश्यों में शामिल हैं:

• एक खाता जो बीवर बिल्डर सेटिंग्स तक पहुंच रखता है, एक स्क्रिप्ट सहेजता है जो प्रशासन UI को संशोधित करता है, कोड इंजेक्ट करता है जो ऑथ टोकन भेजता है, या स्थायी रीडायरेक्ट जोड़ता है।.
• एक ठेकेदार जिसे कस्टम भूमिका दी गई है, एक क्रिया करने के लिए सामाजिक-इंजीनियर्ड किया जाता है जो तैयार की गई सामग्री को स्टोर करता है।.
• एक स्टोर किया गया पेलोड एक बीकन या बैकडोर जावास्क्रिप्ट को स्थिरता और डेटा निकासी के लिए गिराने के लिए उपयोग किया जाता है।.

क्योंकि स्टोर किया गया XSS साइट के डेटा में बना रहता है, यह रिबूट को सहन कर सकता है और हटाए जाने तक बना रह सकता है।.

साइट मालिकों के लिए तात्कालिक कार्रवाई (मिनटों से घंटों)

1. अभी बीवर बिल्डर को अपडेट करें।. प्लगइन को संस्करण 2.10.0.6 या बाद के संस्करण में अपडेट करें। पैचिंग सर्वोच्च प्राथमिकता है।.
2. यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो अस्थायी रूप से प्लगइन सेटिंग्स तक पहुंच को प्रतिबंधित करें।. बीवर बिल्डर सेटिंग्स पृष्ठों तक पहुंच को छोटे सेट के व्यवस्थापक आईपी या विश्वसनीय खातों तक सीमित करें। प्लगइन से जुड़े wp-admin पथों के लिए सर्वर-स्तरीय प्रतिबंधों पर विचार करें।.
3. उपयोगकर्ता भूमिकाओं और हाल ही में सक्रिय उपयोगकर्ताओं का ऑडिट करें।. कस्टम भूमिकाओं वाले खातों और हाल ही में बनाए गए किसी भी खाते की पहचान करें। जिन खातों को आप नहीं पहचानते हैं, उनके लिए पहुंच को हटा दें या प्रतिबंधित करें।.
4. एज/WAF नियमों को कड़ा करें या सक्षम करें (वर्चुअल पैचिंग)।. संदिग्ध स्क्रिप्ट-जैसे पेलोड या सामान्य XSS मार्करों वाले प्रशासनिक एंडपॉइंट्स पर POST/PUT अनुरोधों को ब्लॉक करने के लिए फ़ायरवॉल नियमों को कॉन्फ़िगर करें।.
5. अपनी साइट को स्कैन करें।. संदिग्ध स्क्रिप्ट टैग के लिए डेटाबेस जांच सहित पूर्ण मैलवेयर स्कैन चलाएं जो विकल्प पंक्तियों या प्लगइन-विशिष्ट सेटिंग फ़ील्ड में हो।.
6. संदिग्ध गतिविधियों के लिए लॉग की निगरानी करें।. असामान्य आईपी पते से प्रशासनिक एंडपॉइंट्स पर POST अनुरोधों की तलाश करें और जांचें कि बीवर बिल्डर से संबंधित विकल्प पंक्तियों में क्या सहेजा गया था।.
7. यदि आप संदिग्ध प्रशासनिक गतिविधि का पता लगाते हैं, तो क्रेडेंशियल्स और सत्रों को घुमाएं।. प्रभावित खातों के लिए पासवर्ड रीसेट करने के लिए मजबूर करें और सत्रों को अमान्य करें।.

सुरक्षित रूप से अपडेट कैसे करें (सर्वोत्तम प्रथा)

1. यदि संभव हो तो साइट को रखरखाव मोड में डालें।.
2. एक पूर्ण बैकअप लें (फ़ाइलें + डेटाबेस)।.
3. पहले एक स्टेजिंग साइट पर प्लगइन को अपडेट करें ताकि कोई संघर्ष न हो।.
4. उत्पादन में पीक घंटों के बाहर अपडेट करें।.
5. कोर पृष्ठों और प्रशासनिक प्रवाह, संपादक, और फ्रंट-एंड रेंडरिंग का परीक्षण करें।.
6. अपडेट के बाद फिर से स्कैन करें और लॉग की समीक्षा करें।.

यदि अपडेट समस्याएँ उत्पन्न करता है, तो अपने बैकअप का उपयोग करके वापस रोल करें और प्लगइन/थीम संघर्षों की समीक्षा करें, फिर प्लगइन डेवलपर/समर्थन से संपर्क करें।.

व्यावहारिक सर्वर/WAF शमन (उदाहरण)

ये उदाहरण सामान्य सुरक्षा उपाय हैं जो आधिकारिक पैच लागू करते समय जोखिम को कम करने के लिए हैं। वे जानबूझकर शोषण पेलोड से बचते हैं। अपने वातावरण के अनुसार नियमों को संशोधित करें और वैश्विक रूप से लागू करने से पहले गैर-उत्पादन वातावरण में परीक्षण करें।.

ModSecurity (OWASP CRS) शैली नियम (उदाहरण)

# ब्लॉक सामान्य स्क्रिप्ट इंजेक्शन मार्कर्स को POST बॉडीज़ में प्रशासनिक एंडपॉइंट्स के लिए"

Nginx + Lua / वैकल्पिक अनुरोध ब्लॉकिंग

location /wp-admin {

WordPress क्षमता हार्डनिंग (PHP mu-plugin उदाहरण)

// साइट-विशिष्ट प्लगइन या mu-plugin में जोड़ें;

नोट्स:

• यदि आपको पता है तो क्षमता नाम को वास्तविक बीवर बिल्डर क्षमता से बदलें। यदि नहीं, तो जब तक आप प्लगइन अपडेट लागू नहीं कर सकते, प्रशासनिक स्क्रीन तक पहुँच को सर्वर स्तर पर कड़ा करें।.
• हमेशा उत्पादन में लागू करने से पहले स्टेजिंग पर क्षमता परिवर्तनों का परीक्षण करें।.

पहचान मार्गदर्शन — क्या देखना है।

• डेटाबेस में अप्रत्याशित टैग, विशेष रूप से wp_options, पोस्ट, कस्टम फ़ील्ड, या प्लगइन-विशिष्ट तालिकाओं में।.
• बीवर बिल्डर से संबंधित कुंजियों (option_name पैटर्न) के लिए विकल्प तालिका की खोज करें और संदिग्ध मार्कअप के लिए option_value का निरीक्षण करें।.
• समय और उपयोगकर्ता द्वारा सेटिंग पृष्ठों में हालिया संशोधन।.
• प्रशासनिक पृष्ठों पर इंजेक्टेड UI तत्व, छिपे हुए iframes, या परिवर्तित JavaScript दिखाना।.
• साइट से अज्ञात डोमेन (बीकन) के लिए आउटगोइंग कनेक्शन।.

SQL क्वेरी उदाहरण (पढ़ने के लिए केवल)

SELECT option_name;

नोट: सीधे SQL चलाने में सावधानी बरतें। कोई भी लिखने में परिवर्तन करने से पहले बैकअप लें।.

घटना प्रतिक्रिया चेकलिस्ट (यदि आप समझौता होने का संदेह करते हैं)

1. यदि आप सक्रिय दुर्भावनापूर्ण कोड की पुष्टि करते हैं तो साइट को ऑफ़लाइन ले जाएं या एक रखरखाव संदेश प्रस्तुत करें।.
2. संगरोध: आपत्तिजनक IPs को ब्लॉक करें, यदि आवश्यक हो तो साइट को सेवाओं से अलग करें (संदिग्ध तृतीय-पक्ष एकीकरण को डिस्कनेक्ट करें)।.
3. दुर्भावनापूर्ण प्रविष्टियों की पहचान करें और उन्हें हटा दें:
   • डेटाबेस रिकॉर्ड से इंजेक्टेड स्क्रिप्ट टैग हटा दें।.
   • यदि उपलब्ध हो तो एक साफ बैकअप (पूर्व-समझौता) से पुनर्स्थापित करें।.
4. सभी व्यवस्थापक पासवर्ड और एपीआई कुंजी को घुमाएं, और सत्रों को अमान्य करें।.
5. सर्वर लॉग और वर्डप्रेस लॉग की समीक्षा करें ताकि दायरा और समयरेखा निर्धारित की जा सके।.
6. पूर्ण मैलवेयर स्कैनिंग और अखंडता जांच (फाइलें और डेटाबेस) फिर से चलाएं।.
7. एक स्वच्छ वातावरण में प्लगइन पैच (2.10.0.6 या बाद का) लागू करें।.
8. यदि संकेत दिखाते हैं कि संक्रमण या बैकडोर लगातार है, तो एक पेशेवर सुरक्षा समीक्षा पर विचार करें।.

दीर्घकालिक हार्डनिंग सिफारिशें

• न्यूनतम विशेषाधिकार के सिद्धांत को लागू करें: सुनिश्चित करें कि केवल एक छोटा, विश्वसनीय समूह साइट-निर्माण या प्लगइन सेटिंग्स तक पहुंच सकता है।.
• कस्टम भूमिकाओं का समय-समय पर ऑडिट करें, और स्पष्ट आवश्यकता के बिना व्यापक क्षमताओं वाली भूमिकाएं बनाने से बचें।.
• मजबूत प्रमाणीकरण को लागू करें: सभी विशेषाधिकार प्राप्त खातों के लिए दो-कारक प्रमाणीकरण सक्षम करें।.
• असामान्य सम्मिलनों के लिए फ़ाइल परिवर्तनों और डेटाबेस परिवर्तनों की निगरानी करें।.
• प्लगइन की संख्या सीमित करें और प्लगइनों को अपडेट रखें। कम चलने वाले भागों से हमले की सतह कम होती है।.
• कुछ XSS शोषण पथों को कम करने के लिए जहां उपयुक्त हो, सामग्री सुरक्षा नीति (CSP) अपनाएं।.
• कस्टम कोड में सर्वर-साइड आउटपुट एस्केपिंग और डेटा स्वच्छता के सर्वोत्तम प्रथाओं का उपयोग करें।.
• एक घटना प्रतिक्रिया योजना और नियमित ऑफसाइट बैकअप बनाए रखें।.

प्लगइन लेखकों के लिए विकास मार्गदर्शन (संक्षिप्त)

यदि आप प्लगइन या थीम बनाते हैं, तो इन आवश्यक नियमों का पालन करें:

• सेटिंग्स को सहेजने या प्रदर्शित करने से पहले हमेशा क्षमता जांचें (current_user_can( ‘appropriate_cap’ ))।.
• प्रशासनिक फ़ॉर्म के लिए नॉनसेस का उपयोग करें और उन्हें POST पर सत्यापित करें।.
• इनपुट पर स्वच्छता (sanitize_text_field, wp_kses_post नियंत्रित HTML के लिए) और आउटपुट पर एस्केप करें (esc_html, esc_attr, wp_kses_post के अनुसार)।.
• यह न मानें कि प्रशासनिक UI सुरक्षित है — व्यवस्थापक सामाजिक इंजीनियरिंग का शिकार हो सकते हैं।.
• विकल्पों में संग्रहीत डेटा को मान्य और मानकीकरण करें और रेंडरिंग के लिए सुरक्षित APIs प्रदान करें।.

एक वेब एप्लिकेशन फ़ायरवॉल (WAF) कैसे मदद करता है - और यह क्या नहीं बदल सकता

एक सही तरीके से कॉन्फ़िगर किया गया WAF या एज नियम तत्काल सुरक्षा प्रदान कर सकता है जबकि आप आधिकारिक पैच लागू कर रहे हैं। यह कर सकता है:

• ज्ञात हमले के वेक्टर (संवेदनशील POST फ़ील्ड में स्क्रिप्ट टैग, संदिग्ध पेलोड) को ब्लॉक करें।.
• कमजोर अंत बिंदुओं के लिए आभासी पैच लागू करें ताकि अस्थायी रूप से जोखिम कम किया जा सके।.
• संदिग्ध गतिविधियों पर अलर्ट करें और दुरुपयोग करने वाले IP या पैटर्न को ब्लॉक करें।.

हालाँकि, एक WAF केवल एक परत है। यह प्लगइन कोड में अनुपस्थित प्राधिकरण को स्थायी रूप से ठीक नहीं कर सकता - आपको आधिकारिक पैच लागू करना होगा। WAF को अस्थायी सुरक्षा उपकरण के रूप में मानें जबकि मूल कारण को ठीक किया जा रहा है।.

अनुशंसित परतदार दृष्टिकोण:

1. प्लगइन पैच करें (निश्चित समाधान)।.
2. तात्कालिक सुरक्षा के लिए तुरंत आभासी पैचिंग (एज/WAF) लागू करें।.
3. भूमिकाओं और क्षमताओं को मजबूत करें और व्यवस्थापक सुरक्षा सर्वोत्तम प्रथाओं को लागू करें।.
4. स्कैन करें, निगरानी करें, और प्रतिक्रिया दें।.

आपको अपडेट में देरी क्यों नहीं करनी चाहिए

स्टोर की गई XSS क्रेडेंशियल चोरी, ड्राइव-बाय मैलवेयर, और स्थायी अधिग्रहण वेक्टर के लिए उपयोग की जा सकती है। भले ही शोषण के लिए एक विशेषाधिकार प्राप्त खाता और उपयोगकर्ता इंटरैक्शन की आवश्यकता हो, कई साइटों में बहुत अधिक विशेषाधिकार प्राप्त खाते या कमजोर नीतियाँ होती हैं। एक बार जब कोई भेद्यता सार्वजनिक हो जाती है, तो शोषण के प्रयास आमतौर पर तेजी से बढ़ जाते हैं।.

सामान्य प्रश्न

प्रश्न: मेरी साइट केवल व्यवस्थापकों को बीवर बिल्डर सेटिंग्स संपादित करने देती है - क्या मैं सुरक्षित हूँ?
उत्तर: संभवतः जोखिम कम है लेकिन शून्य नहीं। यदि एक व्यवस्थापक खाता समझौता किया जाता है (फिश्ड, चुराया गया, या एक दुर्भावनापूर्ण अंदरूनी व्यक्ति द्वारा बनाया गया), तो स्टोर की गई XSS अभी भी संभव हो जाती है। पैच लागू करें।.

प्रश्न: क्या मैं बस बीवर बिल्डर प्लगइन हटा सकता हूँ?
उत्तर: प्लगइन को निष्क्रिय या हटाने से आमतौर पर कमजोर कोड हटा दिया जाता है, लेकिन अवशिष्ट सेटिंग्स डेटाबेस में बनी रह सकती हैं और पुनः स्थापना पर फिर से पेश की जा सकती हैं। यदि आप अस्थायी रूप से प्लगइन हटाते हैं, तो संदिग्ध सहेजे गए मानों के लिए DB का ऑडिट करें।.

प्रश्न: क्या इंजेक्टेड स्क्रिप्ट को साफ़ करने से हमलावर का बैकडोर हट जाता है?
उत्तर: यह दृश्य कलाकृतियों को हटा सकता है, लेकिन हमलावर अक्सर स्थायी बैकडोर (फाइलें, अनुसूचित कार्य, संशोधित थीम) छोड़ देते हैं। एक पूर्ण साइट मैलवेयर स्कैन चलाएँ और फ़ाइल की अखंडता की समीक्षा करें।.