सारांश

एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता जो myCred वर्डप्रेस प्लगइन (संस्करण ≤ 2.9.7.3) को प्रभावित करती है, का खुलासा किया गया और इसे CVE-2026-0550 सौंपा गया। एक प्रमाणित उपयोगकर्ता जिसके पास योगदानकर्ता (या उच्च) विशेषाधिकार हैं, एक स्थायी दुर्भावनापूर्ण पेलोड इंजेक्ट कर सकता है जो बाद में फ्रंट एंड पर प्रदर्शित होता है mycred_load_coupon शॉर्टकोड। यह समस्या myCred 2.9.7.4 में ठीक की गई है। यह सलाह तकनीकी जोखिम, संभावित शोषण पथ, पहचान रणनीतियाँ, और चरण-दर-चरण सुधार की प्रक्रिया को समझाती है - जिसमें तात्कालिक कठिनाई और आभासी पैचिंग विकल्प शामिल हैं।.

यदि आपके किसी भी वर्डप्रेस साइट पर myCred स्थापित है, तो इसे पूरी तरह से पढ़ें और अभी कार्रवाई करें।.

त्वरित तथ्य

• प्रभावित प्लगइन: myCred (वर्डप्रेस)
• कमजोर संस्करण: ≤ 2.9.7.3
• ठीक किया गया संस्करण: 2.9.7.4
• भेद्यता प्रकार: स्टोर किया गया क्रॉस-साइट स्क्रिप्टिंग (XSS)
• शोषण के लिए आवश्यक विशेषाधिकार: योगदानकर्ता (प्रमाणित)
• CVE: CVE-2026-0550
• अनुमानित गंभीरता: मध्यम / CVSS 6.5 (प्रमाणित उपयोगकर्ता आवश्यक, लेकिन स्थायी XSS)
• शोषण प्रभाव: हमलावर द्वारा प्रदान किए गए स्क्रिप्ट विज़िटर्स के ब्राउज़रों में निष्पादित होते हैं - संभावित खाता अधिग्रहण, सामग्री इंजेक्शन, फ़िशिंग, रीडायरेक्ट, और क्लाइंट-साइड शोषण
• तात्कालिक शमन: प्लगइन को अपडेट करें; यदि तात्कालिक अपडेट संभव नहीं है, तो WAF नियमों के माध्यम से आभासी पैचिंग लागू करें और योगदानकर्ता क्षमताओं को सीमित करें

क्या हुआ — साधारण अंग्रेजी

myCred एक शॉर्टकोड को उजागर करता है (mycred_load_coupon) जो कूपन सामग्री प्रदर्शित करता है। कमजोर संस्करणों में, डेटा जो योगदानकर्ता बना सकते हैं, उसे ठीक से साफ/एस्केप नहीं किया जाता है इससे पहले कि उसे संग्रहीत या आउटपुट किया जाए। एक दुर्भावनापूर्ण योगदानकर्ता कूपन फ़ील्ड में मार्कअप या जावास्क्रिप्ट जोड़ सकता है जिसे शॉर्टकोड बाद में बिना बदले पृष्ठों में आउटपुट करता है। चूंकि पेलोड डेटाबेस में संग्रहीत होता है और जब विज़िटर्स शॉर्टकोड आउटपुट देखते हैं तो प्रदर्शित होता है, यह संग्रहीत XSS है - एक स्थायी क्लाइंट-साइड भेद्यता।.

संग्रहीत XSS विशेष रूप से खतरनाक है क्योंकि दुर्भावनापूर्ण सामग्री बनी रहती है और समय के साथ कई विज़िटर्स को प्रभावित कर सकती है, जिसमें प्रशासक और संपादक शामिल हैं जो डैशबोर्ड या फ्रंट एंड में प्रभावित पृष्ठ को देखते हैं।.

यह आपके लिए क्यों महत्वपूर्ण है

1. योगदानकर्ता सामान्य हैं: कई साइटें बाहरी योगदानकर्ताओं, अतिथि लेखकों, सहयोगियों, या निम्न-विशेषाधिकार उपयोगकर्ताओं को सामग्री बनाने की अनुमति देती हैं। यदि आप उस भूमिका की अनुमति देते हैं, तो आपका जोखिम बढ़ जाता है।.
2. संग्रहीत XSS विश्वसनीय उपयोगकर्ताओं को प्रभावित कर सकता है: प्रशासक और संपादक जो पृष्ठ देख रहे हैं, यदि एक हमलावर एक एक्सफिल्ट्रेशन पेलोड तैयार करता है तो उनके कुकीज़ या सत्र टोकन उजागर हो सकते हैं।.
3. SEO और प्रतिष्ठा को नुकसान: दुर्भावनापूर्ण स्क्रिप्ट SEO स्पैम इंजेक्ट कर सकती हैं, विज़िटर्स को मैलवेयर/फ़िशिंग पृष्ठों पर रीडायरेक्ट कर सकती हैं, या अवांछित विज्ञापन प्रदर्शित कर सकती हैं।.
4. पार्श्व वृद्धि: हमलावर XSS का उपयोग करके सत्र चोरी, CSRF, या विशेषाधिकार प्राप्त उपयोगकर्ताओं की सामाजिक इंजीनियरिंग के माध्यम से विशेषाधिकार बढ़ा सकते हैं।.

शोषण परिदृश्य - एक हमलावर क्या करेगा

• हमलावर एक योगदानकर्ता खाता पंजीकृत करता है या एक मौजूदा योगदानकर्ता खाते का उपयोग करता है।.
• वे एक कूपन बनाते या संपादित करते हैं और एक पेलोड एम्बेड करते हैं (जैसे, <script> टैग, <img onerror="…">, या अन्य इवेंट हैंडलर्स)।.
• द mycred_load_coupon शॉर्टकोड एक सार्वजनिक पृष्ठ पर उपयोग किया जाता है; जब भी कोई आगंतुक या व्यवस्थापक उस पृष्ठ को लोड करता है, तो ब्राउज़र इंजेक्टेड स्क्रिप्ट को निष्पादित करता है।.
• हमलावर प्रशासकों को लक्षित करने या बड़े पैमाने पर आगंतुक डेटा एकत्र करने के लिए पेलोड तैयार कर सकता है।.

शोषण के लिए कम से कम योगदानकर्ता पहुंच की आवश्यकता होती है - कई संपादकीय कार्यप्रवाहों में एक सामान्य भूमिका, इसलिए इसे एक तात्कालिक रोकथाम और सफाई आइटम के रूप में मानें।.

पुष्टि की गई सुधार और तात्कालिक कार्रवाई

• myCred ने एक पैच जारी किया: संस्करण 2.9.7.4 (या बाद में) में अपग्रेड करें।.
• यदि संभव हो, तो पहले स्टेजिंग में अपडेट करें, फिर उत्पादन में पुश करें।.
• यदि आप तुरंत अपडेट नहीं कर सकते (विरासत साइटें, भारी अनुकूलन, अवरुद्ध अपडेट विंडो), तो WAF के माध्यम से आभासी पैचिंग लागू करें और नीचे दिए गए रोकथाम के चरणों का पालन करें।.

चरण-दर-चरण सुधार चेकलिस्ट (व्यावहारिक, प्राथमिकता दी गई)

1. प्लगइन को अपडेट करें (उच्चतम प्राथमिकता)

• सभी प्रभावित साइटों पर myCred को 2.9.7.4 या नए संस्करण में अपडेट करें।.
• यदि स्वचालित अपडेट सक्षम हैं, तो सुनिश्चित करें कि प्लगइन सही ढंग से अपडेट हुआ है।.
• अपडेट के बाद, पुष्टि करें कि प्रभावित पृष्ठ अब इंजेक्टेड सामग्री को प्रदर्शित नहीं करते हैं।.

2. यदि आप तुरंत अपडेट नहीं कर सकते - आभासी पैचिंग लागू करें (WAF)

• WAF नियम लागू करें जो अनुरोधों को अवरुद्ध करते हैं जो सबमिट करने का प्रयास करते हैं <script> टैग या संदिग्ध इवेंट विशेषताएँ (त्रुटि पर, onclick, लोड होने पर) कूपन निर्माण/संपादन अनुरोधों (व्यवस्थापक POSTs) के भीतर।.
• सामान्य जावास्क्रिप्ट पेलोड या एन्कोडेड समकक्षों को शामिल करने वाली सामग्री सबमिशन को अवरुद्ध या निष्क्रिय करें।.
• जहां संभव हो, सर्वर अनुरोध पेलोड से स्ट्रिप/निष्क्रिय करें <script> 8. और on*= कूपन डेटा संग्रहीत करने वाले एंडपॉइंट्स के लिए विशेषताओं।.

3. विशेषाधिकार और अस्थायी नीति परिवर्तनों की सीमा

• अस्थायी रूप से यह सीमित करें कि कौन कूपन बना सकता है या कूपन सामग्री संपादित कर सकता है: योगदानकर्ता भूमिका से उस क्षमता को हटा दें या गैर-विश्वसनीय भूमिकाओं के लिए कूपन निर्माण UI को अक्षम करें।.
• आपातकालीन विंडो के दौरान कूपन बनाने/प्रकाशित करने के लिए न्यूनतम अनुमति वाली भूमिका को संपादक/प्रशासक पर सेट करने पर विचार करें।.
• योगदानकर्ता खातों का ऑडिट करें और अनजान खातों के लिए पासवर्ड को अक्षम या रीसेट करें।.

4. संग्रहीत पेलोड के लिए खोजें और दुर्भावनापूर्ण कलाकृतियों को हटा दें

• संदिग्ध सामग्री के लिए डेटाबेस की खोज करें (WP-CLI या सीधे DB क्वेरी का उपयोग करें)।.
• संदिग्ध HTML के लिए कूपन पोस्ट प्रकार और प्लगइन तालिकाओं की जांच करें; किसी भी खोज को हटा दें या साफ करें।.

5. आउटपुट एस्केपिंग और सैनिटाइजेशन को मजबूत करें (डेवलपर कार्रवाई)

• सुनिश्चित करें कि myCred शॉर्टकोड का उपयोग करने वाला कस्टम कोड WordPress फ़ंक्शंस के माध्यम से आउटपुट को एस्केप करता है: esc_html(), esc_attr(), wp_kses_post() जहाँ उपयुक्त हो।.
• यदि थीम या चाइल्ड थीम कच्चे myCred शॉर्टकोड आउटपुट का उपयोग करती हैं, तो उन्हें आउटपुट से पहले मानों को साफ करने के लिए अपडेट करें।.

6. निगरानी और लॉगिंग को बढ़ाएं

• योगदानकर्ताओं द्वारा कूपन निर्माण/संपादन घटनाओं के लिए हाल की प्रशासनिक गतिविधि लॉग की जांच करें।.
• अवरुद्ध प्रयासों या एन्कोडेड पेलोड के साथ संदिग्ध POST के लिए WAF और वेब सर्वर लॉग की निगरानी करें।.
• अगले 14-30 दिनों के लिए निगरानी की आवृत्ति बढ़ाएं।.

7. शोषण के सबूत मिलने पर घटना प्रतिक्रिया

• तुरंत दुर्भावनापूर्ण सामग्री को हटा दें।.
• सभी उपयोगकर्ताओं के लिए सत्रों को अमान्य करें और प्रशासनिक क्रेडेंशियल्स को घुमाएं, विशेष रूप से यदि प्रशासकों ने प्रभावित पृष्ठों को देखा हो।.
• हमलावर डोमेन के लिए डेटा निकासी के प्रयासों के लिए आउटबाउंड लॉग की समीक्षा करें।.
• प्रभावित उपयोगकर्ताओं को सूचित करें यदि क्रेडेंशियल्स या संवेदनशील डेटा उजागर हो सकते हैं।.
• द्वितीयक पेलोड या वेबशेल के लिए साइट फ़ाइलों को स्कैन करें; हमलावर कभी-कभी बैकडोर छोड़ देते हैं।.

8. कुकी सुरक्षा सर्वोत्तम प्रथाओं की समीक्षा करें और लागू करें

• जहां लागू हो, प्रमाणीकरण कुकीज़ को HttpOnly और SameSite पर सेट करें।.
• सुरक्षित कुकीज़ का उपयोग करें (केवल HTTPS)।.
• व्यवस्थापक/संपादक खातों के लिए दो-कारक प्रमाणीकरण (2FA) को लागू करने पर विचार करें।.

यह कैसे पता करें कि क्या आप लक्षित थे - व्यावहारिक जांच

• अपने साइट पर mycred_load_coupon शॉर्टकोड के लिए खोजें और अप्रत्याशित HTML या स्क्रिप्ट टैग के लिए आउटपुट की जांच करें।.
• डेटाबेस में खोजें 9. या विशेषताओं जैसे onload= या इवेंट विशेषताएँ (onload, onerror, onclick) में पोस्ट_सामग्री, पोस्टमेटा, और किसी भी कस्टम myCred तालिकाएँ।.
• योगदानकर्ता खातों द्वारा प्रकटीकरण तिथि के बाद नए या संपादित कूपनों की तलाश करें।.
• अविश्वसनीय उपयोगकर्ताओं द्वारा कूपन निर्माण या संपादन के लिए व्यवस्थापक क्रिया लॉग की जांच करें।.
• असामान्य दिखने वाले कूपन निर्माण अंत बिंदुओं के लिए POST अनुरोधों के लिए WAF और एक्सेस लॉग की समीक्षा करें (base64 या URL एन्कोडेड पेलोड, विशेष वर्णों की बहुतायत)।.
• संदिग्ध पृष्ठों को प्रस्तुत करने के लिए एक स्टेजिंग कॉपी का उपयोग करें और अज्ञात डोमेन के लिए नेटवर्क कॉल देखने के लिए ब्राउज़र DevTools खोलें।.

उदाहरण डेटाबेस क्वेरी (यदि नहीं है तो तालिका उपसर्ग समायोजित करें wp_):

-- शॉर्टकोड का उपयोग करके पोस्ट खोजें:.

निवारक हार्डनिंग - तुरंत अपनाने के लिए नीतियाँ

• न्यूनतम विशेषाधिकार का सिद्धांत: मासिक उपयोगकर्ता भूमिकाओं की समीक्षा करें और योगदानकर्ताओं से क्षमता वृद्धि को हटा दें।.
• शॉर्टकोड उपयोग नीति: योगदानकर्ताओं को कच्चा HTML प्रस्तुत करने वाले विशेषाधिकार प्राप्त शॉर्टकोड डालने की अनुमति देने से बचें।.
• सामग्री फ़िल्टरिंग: उन भूमिकाओं के लिए सर्वर-साइड स्वच्छता लागू करें जो HTML प्रस्तुत कर सकती हैं (जैसे, wp_kses_post)।.
• निरंतर अपडेट: प्लगइन्स और थीम को अपडेट रखें; अपग्रेड के परीक्षण के लिए एक स्टेजिंग वातावरण बनाए रखें।.
• डेटा मान्यता: डेवलपर्स को इनपुट पर साफ करना और आउटपुट पर एस्केप करना चाहिए।.
• सामग्री सुरक्षा नीति (CSP): इनलाइन स्क्रिप्ट निष्पादन और बाहरी नेटवर्क कॉल को सीमित करने के लिए एक प्रतिबंधात्मक CSP लागू करें।.
• सुरक्षा स्कैन: अपनी साइटों और स्थापित प्लगइन्स के लिए निर्धारित मैलवेयर और कमजोरियों के स्कैन चलाएं।.
• बैकअप: नियमित ऑफसाइट बैकअप बनाए रखें और परिवर्तनों को लागू करने से पहले पुनर्स्थापनों का परीक्षण करें।.

डेवलपर्स के लिए अनुशंसित कोड स्वच्छता

यदि आपका कोड myCred आउटपुट के साथ इंटरैक्ट करता है या सीधे शॉर्टकोड रेंडर करता है, तो सुनिश्चित करें कि आप:

• आउटपुट से पहले एस्केप करें:
  • उपयोग करें esc_html() सामान्य पाठ आउटपुट के लिए।.
  • उपयोग करें esc_attr() विशेषताओं के लिए।.
  • उपयोग करें wp_kses_post() अनुमत टैग सेट के साथ साफ HTML के लिए।.
• इनपुट मान्य करें: सहेजने पर, अस्वीकृत टैग हटा दें wp_kses() या उपयोग करें sanitize_text_field() यदि केवल पाठ की अपेक्षा की जाती है।.
• बचें eval() या अविश्वसनीय eval पथ।.
• सभी प्रशासनिक POST एंडपॉइंट्स के लिए नॉनसेस और क्षमता जांच का उपयोग करें।.

उदाहरणात्मक उदाहरण

<?php

कभी भी एस्केप किए बिना कच्चे डेटाबेस सामग्री को न दिखाएं।.

WAF नियम उदाहरण और पैटर्न (तत्काल वर्चुअल पैचिंग के लिए)

यदि आप WAF का प्रबंधन करते हैं, तो उन नियमों को लागू करें जो संभावित शोषण वेक्टर को लक्षित करते हैं। वैध व्यवहार को अवरुद्ध करने से बचने के लिए स्टेजिंग में नियमों का परीक्षण करें।.

• ब्लॉक POST/PUT अनुरोध जहां शरीर में शामिल हैं 9. या विशेषताओं जैसे onload= (केस-संवेदनशील) या इवेंट विशेषताएँ (त्रुटि होने पर=, onclick=, 11. साइट मालिकों के लिए तात्कालिक कदम).
• जावास्क्रिप्ट URI (जैसे, शामिल करने वाले सबमिशन को ब्लॉक करें, डेटा:text/html, जावास्क्रिप्ट:).
• एन्कोडेड पेलोड का पता लगाएं और ब्लॉक करें जो डिकोड होते हैं 9. या विशेषताओं जैसे onload= या त्रुटि पर (बेस64, हेक्स, URL-एन्कोडेड)।.
• उन प्रशासनिक अंत बिंदुओं पर सबमिशन को ब्लॉक करें जो कूपन बनाते हैं जब पेलोड में कोण-ब्रैकेटेड HTML तत्व या सामान्य XSS पैटर्न शामिल होते हैं।.
• यदि संभव हो, तो आउटगोइंग प्रतिक्रियाओं को साफ करें जो शामिल हैं mycred_load_coupon क्लाइंट तक पहुँचने से पहले <script> टैग को हटा कर।.
• उन योगदानकर्ता खातों से POSTs की दर-सीमा निर्धारित करें जो बार-बार कूपन बनाते या संपादित करते हैं।.
• किसी भी इनलाइन स्क्रिप्ट के प्रभाव को कम करने के लिए CSP हेडर का उपयोग करें जो फिसल सकते हैं।.

नोट: प्रभावी नियमों के लिए सावधानीपूर्वक परीक्षण की आवश्यकता होती है ताकि कूपनों में वैध HTML का उपयोग करने वाली साइटों पर झूठे सकारात्मक से बचा जा सके।.

यदि आपने दुर्भावनापूर्ण सामग्री पाई है - चरण-दर-चरण घटना प्रतिक्रिया

1. प्रभावित पृष्ठों को ऑफ़लाइन लें या उन्हें ड्राफ्ट पर सेट करें।.
2. कूपन/पोस्ट प्रविष्टियों को साफ सामग्री के साथ बदलें या साफ करें।.
3. myCred को 2.9.7.4 (या उच्चतर) पर अपडेट करें।.
4. प्रशासनिक/विशेषाधिकार प्राप्त उपयोगकर्ता पासवर्ड को घुमाएँ और उन उपयोगकर्ताओं के लिए पासवर्ड रीसेट करने के लिए मजबूर करें जिन्होंने प्रभावित पृष्ठों को देखा हो सकता है।.
5. सत्रों को अमान्य करें (लॉगआउट करने के लिए मजबूर करें)।.
6. वेबशेल/बैकडोर और अन्य दुर्भावनापूर्ण फ़ाइलों के लिए स्कैन करें; संशोधित फ़ाइलों और अज्ञात अनुसूचित कार्यों की जांच करें।.
7. हमलावर अवसंरचना के लिए आउटबाउंड नेटवर्क कनेक्शनों की जांच करें और संदिग्ध गंतव्यों को ब्लॉक करें।.
8. हितधारकों को सूचित करें और जहां लागू हो, उल्लंघन-सूचना नीतियों का पालन करें।.

यदि आपकी साइट तृतीय-पक्ष योगदानकर्ता कार्यप्रवाह का उपयोग करती है तो क्या करें

• प्रकाशन से पहले सभी योगदानकर्ता प्रस्तुतियों के लिए संपादकीय अनुमोदन की आवश्यकता है।.
• सैंडबॉक्स फ़ाइल अपलोड सुविधाएँ - अनुमत फ़ाइल प्रकारों को सीमित करें और सर्वर-साइड जांच करें।.
• यदि स्वचालन योगदानकर्ता सामग्री को सार्वजनिक पृष्ठों पर बढ़ावा देता है, तो शॉर्टकोड या HTML वाली सामग्री के लिए एक मानव अनुमोदन चरण जोड़ें।.

सामान्य प्रश्न: संक्षिप्त उत्तर

प्रश्न: क्या इस XSS का लाभ अनाम आगंतुक उठा सकते हैं?

उत्तर: नहीं। शोषण के लिए एक प्रमाणित उपयोगकर्ता की आवश्यकता होती है जिसके पास योगदानकर्ता विशेषाधिकार या उससे अधिक हो ताकि वह दुर्भावनापूर्ण पेलोड को संग्रहीत कर सके।.

प्रश्न: यदि मैं 2.9.7.4 में अपडेट करता हूं, तो क्या मैं सुरक्षित हूं?

उत्तर: अपडेट प्लगइन में रिपोर्ट की गई भेद्यता को बंद कर देता है। आपको अपडेट से पहले बनाए गए किसी भी पूर्व-स्टोर किए गए दुर्भावनापूर्ण सामग्री को भी खोजने और हटाने की आवश्यकता है।.

प्रश्न: क्या एक प्रबंधित फ़ायरवॉल इस शोषण को स्वचालित रूप से रोक सकता है?

उत्तर: एक सही तरीके से कॉन्फ़िगर किया गया प्रबंधित WAF या एज फ़िल्टर सामान्य शोषण प्रयासों को रोक सकता है और जब आप विक्रेता पैच का परीक्षण और लागू करते हैं तो आभासी पैचिंग प्रदान कर सकता है। फिर भी, पूर्ण सुधार के लिए प्लगइन को अपडेट करना और संग्रहीत पेलोड को साफ करना आवश्यक है।.

प्रश्न: यदि मैं अनुकूलन के कारण अपडेट नहीं कर सकता तो क्या होगा?

उत्तर: WAF नियमों के साथ आभासी पैचिंग, योगदानकर्ता क्षमताओं को सीमित करना, और आउटपुट को साफ करना अस्थायी कदम हैं। रोल आउट करने से पहले अपने अनुकूलन के खिलाफ प्लगइन अपडेट को मान्य करने के लिए एक परीक्षण वातावरण बनाएं।.

क्यों संग्रहीत XSS अक्सर अत्यधिक प्रभाव डालता है

संग्रहीत XSS परावर्तित XSS की तुलना में अधिक खतरनाक है क्योंकि पेलोड स्थायी है - यह हर पृष्ठ लोड पर निष्पादित होता है जो संग्रहीत डेटा को प्रस्तुत करता है। वह स्थिरता विस्फोट क्षेत्र को बढ़ाती है:

• एक एकल दुर्भावनापूर्ण योगदानकर्ता खाता हजारों आगंतुकों को प्रभावित कर सकता है।.
• हमलावर लक्षित पेलोड तैयार कर सकते हैं ताकि प्रशासकों को फ़िशिंग कर सकें या विशेषाधिकार बढ़ा सकें।.
• खोज इंजन दुर्भावनापूर्ण सामग्री को अनुक्रमित कर सकते हैं, SEO को नुकसान बढ़ाते हैं।.

संगठनों और होस्ट के लिए दीर्घकालिक सिफारिशें

• एक प्लगइन अपडेट नीति और एक घटना प्रतिक्रिया योजना स्थापित करें जो निर्भरता कमजोरियों को कवर करती है।.
• भूमिका-आधारित नियंत्रण और आवधिक भूमिका ऑडिट अपनाएं - विशेष रूप से उन साइटों पर जो उपयोगकर्ता-जनित सामग्री स्वीकार करती हैं।.
• सुरक्षित प्लगइन अपग्रेड और पुनः परीक्षण सक्षम करने के लिए एक स्टेजिंग और CI पाइपलाइन बनाए रखें।.
• क्लाइंट-साइड हमलों को कम करने के लिए CSP और अन्य ब्राउज़र सुरक्षा सुविधाओं को लागू करें।.
• सुरक्षा निगरानी को केंद्रीकृत करें: आप जिन साइटों का प्रबंधन करते हैं, उनके बीच WAF घटनाओं, अपडेट और स्कैन परिणामों को एकत्रित करें।.

व्यावहारिक उदाहरण - अभी चलाने के लिए खोजें और आदेश।

ये उदाहरण SSH और WP-CLI पहुंच मानते हैं। विनाशकारी आदेश चलाने से पहले बैकअप लें।.

-- mycred शॉर्टकोड का उपयोग करके पृष्ठ खोजें:"

उदाहरण अस्थायी क्षमता हटाना (mu-plugin या एक बार के स्क्रिप्ट के रूप में चलाएं):

<?php

अंतिम चेकलिस्ट - आपको अभी क्या करना चाहिए

• यह सत्यापित करें कि क्या myCred हर साइट पर स्थापित है (और कौन सा संस्करण)।.
• यदि स्थापित है और संस्करण ≤ 2.9.7.3 है: तुरंत 2.9.7.4 में अपडेट करें (पहले परीक्षण करें)।.
• यदि अपडेट तुरंत संभव नहीं है: XSS पेलोड को ब्लॉक करने के लिए WAF नियम सक्षम करें और कूपन बनाने की योगदानकर्ता क्षमता हटा दें।.
• डेटाबेस में संग्रहीत पेलोड के लिए खोजें (9. या विशेषताओं जैसे onload=, त्रुटि पर, जावास्क्रिप्ट:) और किसी भी खोज को हटा दें/साफ करें।.
• यदि आपको सक्रिय शोषण के संकेत मिलते हैं तो क्रेडेंशियल्स को घुमाएं और प्रशासकों के लिए लॉगआउट मजबूर करें।.
• वेबशेल और असामान्य फ़ाइलों के लिए स्कैन करें; यदि आवश्यक हो तो एक साफ बैकअप से पुनर्स्थापित करें।.
• ऊपर वर्णित दीर्घकालिक कठिनाई के कदम लागू करें।.