TL;DR — एक स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरियां (CVE-2026-1888, CVSS 6.5) डोकस प्लगइन संस्करण ≤ 1.0.6 को प्रभावित करती है। एक प्रमाणित उपयोगकर्ता जिसके पास योगदानकर्ता विशेषाधिकार हैं, वह शॉर्टकोड विशेषताओं के माध्यम से दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट कर सकता है जो उच्च विशेषाधिकार वाले उपयोगकर्ताओं या साइट आगंतुकों द्वारा सामग्री प्रस्तुत किए जाने पर निष्पादित हो सकती है। तुरंत डोकस 1.0.7 में अपग्रेड करें। नीचे तकनीकी विवरण, पहचान के चरण और हांगकांग सूचना-सुरक्षा दृष्टिकोण से शमन दिए गए हैं।.

पृष्ठभूमि और संदर्भ

6 फरवरी 2026 को डोकस वर्डप्रेस प्लगइन (≤ 1.0.6) में एक स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS) मुद्दा सार्वजनिक रूप से प्रकट किया गया। यह कमजोरियां एक प्रमाणित उपयोगकर्ता जिसे योगदानकर्ता विशेषाधिकार प्राप्त हैं, को शॉर्टकोड विशेषताओं में जावास्क्रिप्ट एम्बेड करने की अनुमति देती है जिसे प्लगइन बाद में अस्वच्छ रूप से आउटपुट करता है। पेलोड डेटाबेस में स्टोर होता है और जब सामग्री पूर्वावलोकन, संपादक स्क्रीन या फ्रंटेंड जैसे संदर्भों में प्रस्तुत की जाती है तो निष्पादित होता है। स्टोर किया गया XSS सत्र चोरी, विशेषाधिकार वृद्धि और स्थायी समझौता सक्षम करता है — इसे बहु-लेखक या एजेंसी-प्रबंधित साइटों में गंभीरता से लें।.

भेद्यता सारांश

• कमजोरियों: प्रमाणित (योगदानकर्ता) स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग शॉर्टकोड विशेषताओं के माध्यम से
• प्रभावित सॉफ़्टवेयर: डोकस वर्डप्रेस प्लगइन संस्करण ≤ 1.0.6
• में ठीक किया गया: 1.0.7 (तुरंत अपडेट करें)
• CVE: CVE-2026-1888
• CVSS: 6.5 (मध्यम)
• आवश्यक विशेषाधिकार: योगदानकर्ता (प्रमाणित)
• शोषण: स्टोर किया गया XSS — सामग्री को प्रस्तुत करने के लिए एक उपयुक्त दर्शक (संपादक/व्यवस्थापक या साइट आगंतुक) की आवश्यकता होती है

कमजोरियां कैसे काम करती हैं (तकनीकी विश्लेषण)

वर्डप्रेस शॉर्टकोड ब्रैकेटेड टैग को बदलते हैं जैसे [docus attr="मूल्य"] उत्पन्न HTML के साथ। एक सुरक्षित हैंडलर इनपुट को साफ करता है और आउटपुट को कार्यों का उपयोग करके बचाता है जैसे कि sanitize_*, esc_* 8. और wp_kses. । Docus समस्या तब उत्पन्न होती है जब एक योगदानकर्ता द्वारा प्रस्तुत विशेषता मानों को संग्रहीत किया जाता है और बाद में HTML में उचित रूप से बचाए बिना प्रिंट किया जाता है (उदाहरण के लिए, गायब esc_attr() जब विशेषताओं के अंदर उपयोग किया जाता है)।.

सामान्य हमले का प्रवाह:

1. योगदानकर्ता एक ड्राफ्ट या सामग्री को बचाता है जिसमें तैयार की गई विशेषताओं के साथ Docus शॉर्टकोड होता है, जैसे कि. [docus title='<img src="x" onerror="">']
2. सामग्री डेटाबेस में संग्रहीत होती है।.
3. जब एक संपादक/व्यवस्थापक पोस्ट का पूर्वावलोकन करता है या खोलता है (या एक आगंतुक प्रकाशित पृष्ठ को देखता है), तो प्लगइन शॉर्टकोड को संसाधित करता है और विशेषता मान को असुरक्षित रूप से आउटपुट करता है।.
4. इंजेक्ट किया गया पेलोड दर्शक के ब्राउज़र में, उनके सत्र संदर्भ के भीतर निष्पादित होता है।.

मुख्य बिंदु:

• संग्रहीत XSS — पेलोड डेटाबेस में बना रहता है।.
• हमलावर को योगदानकर्ता विशेषाधिकार (या समकक्ष) के साथ एक खाता चाहिए।.
• निष्पादन कई संदर्भों में हो सकता है: संपादक UI, पूर्वावलोकन पैन, व्यवस्थापक स्क्रीन, या फ्रंटेंड।.

शोषण पूर्वापेक्षाएँ और उपयोगकर्ता इंटरैक्शन

• हमलावर के पास एक योगदानकर्ता खाता होना चाहिए (या समान भूमिका जो सामग्री में शॉर्टकोड को बचा सके)।.
• शोषण तब शुरू होता है जब एक उच्च विशेषाधिकार वाला उपयोगकर्ता (संपादक/व्यवस्थापक) या एक साइट आगंतुक सामग्री को प्रस्तुत करता है।.
• वे साइटें जो तीसरे पक्ष, अतिथि लेखकों या कई लेखकों से योगदान स्वीकार करती हैं, उच्च जोखिम में होती हैं।.

हमले के परिदृश्य और वर्डप्रेस साइटों के लिए वास्तविक जोखिम

1. प्रशासनिक खाता अधिग्रहण

   एक हमलावर एक ड्राफ्ट में जावास्क्रिप्ट इंजेक्ट करता है। एक संपादक संपादक या पूर्वावलोकन खोलता है; स्क्रिप्ट चलती है, REST नॉनसेस या कुकीज़ को निकालती है, और हमलावर उन मानों का पुन: उपयोग करता है ताकि विशेषाधिकार प्राप्त क्रियाएँ (व्यवस्थापक उपयोगकर्ता बनाना, सेटिंग्स बदलना) कर सके।.

2. स्थायी विकृति या स्पैम

   प्रकाशित सामग्री में एक पेलोड आगंतुकों को पुनर्निर्देशित कर सकता है, स्पैम इंजेक्ट कर सकता है, या दुर्भावनापूर्ण सामग्री प्रदर्शित कर सकता है, जिससे उपयोगकर्ताओं और खोज प्रतिष्ठा को नुकसान होता है।.

3. विशेषाधिकार वृद्धि और स्थायी संक्रमण

   XSS प्रशासनिक संदर्भों में CSRF-जैसे कार्यों को सक्षम कर सकता है ताकि बैकडोर बनाए जा सकें या थीम/प्लगइन्स को संशोधित किया जा सके।.

4. प्रतिष्ठा और SEO प्रभाव

   यदि दुर्भावनापूर्ण सामग्री परोसी जाती है तो खोज इंजन या ब्राउज़र साइट को झंडा या ब्लैकलिस्ट कर सकते हैं।.

हालांकि CVSS इसे मध्यम के रूप में रेट करता है, लेकिन योगदानकर्ता भूमिकाओं या अविश्वसनीय सामग्री सबमिशन वर्कफ़्लो वाले साइटों के लिए व्यावहारिक जोखिम उच्च है।.

साइट मालिकों और प्रशासकों के लिए तात्कालिक क्रियाएँ

1. तुरंत Docus को अपग्रेड करें।. संस्करण 1.0.7 या बाद में अपडेट करें। यह प्राथमिक समाधान है।.
2. यदि आप तुरंत अपग्रेड नहीं कर सकते: उत्पादन में प्लगइन को निष्क्रिय या हटा दें; पहले परिवर्तनों को मान्य करने के लिए एक परीक्षण बैकअप से स्टेजिंग वातावरण में पुनर्स्थापित करें।.
3. योगदानकर्ता क्षमताओं को सीमित करें (अस्थायी)।. अविश्वसनीय योगदानकर्ता खातों को हटा दें या उनके शॉर्टकोड डालने की क्षमता को सीमित करें।.
4. योगदानकर्ताओं द्वारा बनाए गए हाल के सामग्री का ऑडिट करें।. संदिग्ध शॉर्टकोड या विशेषताओं के लिए ड्राफ्ट और हाल के पोस्ट की खोज करें और संदिग्ध प्रविष्टियों को क्वारंटाइन करें।.
5. दुर्भावनापूर्ण सामग्री पैटर्न के लिए स्कैन करें।. के लिए खोजें <script>, त्रुटि होने पर=, जावास्क्रिप्ट:, डेटा:text/html और पोस्ट के अंदर समान पैटर्न।.
6. WAF के माध्यम से आभासी पैचिंग पर विचार करें।. यदि आपके पास WAF या सुरक्षा प्रदाता है, तो अपडेट करते समय सामान्य शोषण पेलोड को ब्लॉक करने के लिए अल्पकालिक नियम लागू करें - नीचे उदाहरण देखें। नोट: यह मुआवजा नियंत्रण है, पैच का प्रतिस्थापन नहीं।.
7. यदि समझौता होने का संदेह है: प्रशासनिक पासवर्ड को घुमाएं, सक्रिय सत्रों को अमान्य करें, और कुंजी/नमक को घुमाएं wp-config.php पुनः प्रमाणीकरण को मजबूर करने के लिए।.

पहचान: यह कैसे पता करें कि आप प्रभावित हैं

खोजें पोस्ट_सामग्री का wp_posts Docus शॉर्टकोड और संदिग्ध विशेषताओं के लिए। उदाहरण:

SQL क्वेरी

SELECT ID, post_title, post_type, post_status FROM wp_posts WHERE post_content LIKE '%[docus%';

SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%[docus%' AND post_content REGEXP '(<|on[a-z]+=|javascript:)';

WP-CLI

wp post list --post_status=draft,pending,publish --format=csv --fields=ID,post_title,post_status,post_author | grep -i docus

PHP निरीक्षण (व्यवस्थापक)

<?php

अविश्वसनीय उपयोगकर्ताओं द्वारा बनाए गए किसी भी खोजे गए उदाहरणों को संभावित रूप से दुर्भावनापूर्ण मानें: पोस्ट को संगरोध में रखें (ड्राफ्ट पर सेट करें) और आगे की जांच करें।.

सख्ती और दीर्घकालिक निवारण

• शॉर्टकोड का उपयोग करने वालों की संख्या सीमित करें।. निम्न-विश्वास भूमिकाओं को शॉर्टकोड डालने या संपादित करने से रोकें। एक तात्कालिक उपाय के रूप में आप समीक्षा अवधि के दौरान शॉर्टकोड हैंडलर को हटा सकते हैं:

  add_action('init', function() { remove_shortcode('docus'); });

  (केवल तभी उपयोग करें यदि यह आवश्यक कार्यक्षमता को बाधित नहीं करता है।)

• हर जगह साफ करें और एस्केप करें।. सभी कोड पथों में इनपुट पर सफाई और आउटपुट पर एस्केपिंग को लागू करें।.
• भूमिकाओं और कार्यप्रवाहों की समीक्षा करें।. समीक्षा/प्रकाशन कार्यप्रवाह लागू करें जो यह सुनिश्चित करें कि एक संपादक/व्यवस्थापक अविश्वसनीय सामग्री को असुरक्षित संदर्भ में न खोले।.
• मुआवजा नियंत्रण लागू करें।. स्थायी समाधान लागू करते समय जोखिम को कम करने के लिए WAF नियमों, सामग्री फ़िल्टर और निगरानी का उपयोग करें।.
• निरंतर निगरानी।. ज्ञात XSS पैटर्न के लिए समय-समय पर स्कैन शेड्यूल करें और संग्रहीत सामग्री में शॉर्टकोड की समीक्षा करें।.
• कोर, प्लगइन्स और थीम को अपडेट रखें।. नियमित पैचिंग सबसे विश्वसनीय रक्षा बनी रहती है।.

डेवलपर मार्गदर्शन: सुरक्षित फ़िक्स पैटर्न और कोड उदाहरण

यदि आप शॉर्टकोड हैंडलर्स बनाए रखते हैं, तो इन सिद्धांतों को लागू करें:

• प्रारंभ में विशेषता इनपुट को साफ करें sanitize_text_field() या उपयुक्त फ़िल्टर के साथ।.
• यदि सीमित HTML की अनुमति है, तो उपयोग करें wp_kses() एक स्पष्ट व्हाइटलिस्ट के साथ।.
• विशेषता मानों को एस्केप करें esc_attr() और बॉडी टेक्स्ट को esc_html() या wp_kses_post().

उदाहरण

// विशेषता को साफ करें:'<div data-title="%s">'$title = isset($atts['title']) ? sanitize_text_field($atts['title']) : '';'<div class="docus-title">'// अनुमति प्राप्त टैग की सफेद सूची:'</div>'$allowed = ['<div class="docus" data-title="' . esc_attr( $title ) . '">'a' =&gt; ['href' =&gt; true, 'title' =&gt; true, 'rel' =&gt; true],'</div>';
}

5. URL को मान्य करें esc_url_raw() या filter_var() के अनुसार। यह सुनिश्चित करने के लिए यूनिट और इंटीग्रेशन परीक्षण जोड़ें कि कोणीय ब्रैकेट या इवेंट हैंडलर्स वाले विशेषताएँ अस्वीकृत या एस्केप की गई हैं।.

WAF और वर्चुअल-पैच नियम (उदाहरण)

नीचे सामान्य पहचान और ब्लॉकिंग पैटर्न हैं जिन्हें आप अपने फ़ायरवॉल या घुसपैठ रोकथाम प्रणाली के लिए अनुकूलित कर सकते हैं। उत्पादन तैनाती से पहले स्टेजिंग पर नियमों का परीक्षण करें।.

नियम अवधारणा - खतरनाक शॉर्टकोड विशेषताओं वाले POST को ब्लॉक करें

सामग्री बनाने या अपडेट करने के लिए उपयोग किए जाने वाले एंडपॉइंट्स पर POST लक्षित करें: /wp-admin/post.php, /wp-admin/post-new.php, /wp-admin/admin-ajax.php.

स्थिति: