| प्लगइन का नाम | WordPress Ultimate Coming Soon & Maintenance Plugin |
|---|---|
| कमजोरियों का प्रकार | टूटी हुई पहुंच नियंत्रण |
| CVE संख्या | CVE-2024-9706 |
| तात्कालिकता | मध्यम |
| CVE प्रकाशन तिथि | 2026-02-02 |
| स्रोत URL | CVE-2024-9706 |
Broken Access Control in “Ultimate Coming Soon & Maintenance” Plugin (CVE‑2024‑9706) — What WordPress Site Owners Must Do Now
लेखक: हांगकांग सुरक्षा विशेषज्ञ | तारीख: 2026-02-02
टैग: वर्डप्रेस, प्लगइन सुरक्षा, कमजोरियां, CVE-2024-9706
Summary: A broken access control vulnerability (CVE‑2024‑9706) was discovered in the Ultimate Coming Soon & Maintenance WordPress plugin affecting versions <= 1.0.9. Unauthenticated actors could activate templates without proper authorization. The plugin author released a fixed version 1.1.0. This advisory explains the risk, how the flaw is typically abused, immediate mitigation steps, detection and forensics guidance, and developer recommendations to prevent recurrence.
अवलोकन: क्या हुआ
2026-02-02 को वर्डप्रेस प्लगइन के लिए एक कमजोरी सार्वजनिक रूप से प्रकट की गई Ultimate Coming Soon & Maintenance (संस्करण 1.0.9 तक और शामिल)। समस्या को टूटी हुई एक्सेस नियंत्रण (OWASP A01) के रूप में वर्गीकृत किया गया है और CVE‑2024‑9706 सौंपा गया है। दोष ने एक बिना प्रमाणीकरण उपयोगकर्ता को उचित प्राधिकरण जांचों के बिना टेम्पलेट सक्रियण कार्यक्षमता को ट्रिगर करने की अनुमति दी। प्लगइन लेखक ने इस समस्या को हल करने के लिए संस्करण 1.1.0 जारी किया।.
टूटी हुई एक्सेस नियंत्रण तुरंत गोपनीय डेटा को उजागर नहीं कर सकती, लेकिन यह एक मौलिक समस्या है जिसे अन्य कमजोरियों के साथ जोड़ा जा सकता है ताकि साइट के व्यवहार को बदलना, सामग्री इंजेक्ट करना या उपलब्धता को कम करना। यह सलाह साइट के मालिकों, प्रशासकों और डेवलपर्स को तुरंत और आने वाले दिनों में उठाने के लिए व्यावहारिक कार्रवाई की रूपरेखा प्रस्तुत करती है।.
तकनीकी सारांश (उच्च स्तर, सुरक्षित)
- Affected software: Ultimate Coming Soon & Maintenance plugin for WordPress
- कमजोर संस्करण: <= 1.0.9
- ठीक किया हुआ संस्करण: 1.1.0
- वर्गीकरण: टूटी हुई पहुंच नियंत्रण
- CVE: CVE‑2024‑9706
- CVSS: 5.3 (मध्यम)
- आवश्यक विशेषाधिकार: बिना प्रमाणीकरण (लॉगिन की आवश्यकता नहीं)
- प्रभाव: टेम्पलेट या रखरखाव मोड का अनधिकृत सक्रियण; संभावित साइट व्यवहार हेरफेर; सीधे गोपनीयता पर कम प्रभाव लेकिन डाउनस्ट्रीम हमलों की संभावना।.
सरल भाषा: प्लगइन ऐसी कार्यक्षमता को उजागर करता है जो “टेम्पलेट” (रखरखाव/जल्द आ रहा टेम्पलेट) को बदलता या सक्रिय करता है बिना यह सत्यापित किए कि अनुरोधकर्ता को ऐसा करने का अधिकार है। उस अनुपस्थित प्राधिकरण जांच का मतलब है कि इंटरनेट पर कोई भी साइट को टेम्पलेट बदलने या प्रदर्शन सेटिंग्स को बदलने के लिए निर्देश दे सकता है जो सामान्यतः प्रशासकों के लिए प्रतिबंधित हैं।.
कोई शोषण कोड क्यों प्रकाशित नहीं किया गया: प्रमाण‑of‑concept प्रकाशित करना हमलावरों की मदद करता है, रक्षकों की नहीं। इसलिए हम शोषण योग्य अनुरोध विवरण प्रदान किए बिना पहचान और शमन का वर्णन करते हैं।.
14. प्रशासनिक सेटिंग्स शक्तिशाली होती हैं; एक सेटिंग को बदलने से नए हमले के रास्ते खुल सकते हैं।
- User experience & branding: एक हमलावर आपकी साइट की सार्वजनिक प्रस्तुति (कौन सा जल्द आ रहा टेम्पलेट सक्रिय है) को बदल सकता है, जिससे भ्रम और प्रतिष्ठा को नुकसान हो सकता है।.
- Social engineering & phishing: दृश्य सामग्री को विश्वसनीय फ़िशिंग पृष्ठों को स्टेज करने या प्रशासकों और उपयोगकर्ताओं को धोखा देने के लिए बदला जा सकता है।.
- श्रृंखलाबद्ध हमले: हालांकि तत्काल प्रभाव टेम्पलेट सक्रियण है, एक हमलावर जो प्रमाणीकरण के बिना साइट की स्थिति को बदलने में सक्षम है, वह अन्य कमजोरियों (जैसे, असुरक्षित फ़ाइल अपलोड, कमजोर प्रशासक क्रेडेंशियल्स, XSS) के साथ इसे जोड़ सकता है ताकि प्रभाव को बढ़ा सके।.
- Automated scans & mass exploitation: कई हमलावर ज्ञात कमजोरियों के लिए स्वचालित स्कैन करते हैं। यदि आप एक कमजोर संस्करण चला रहे हैं, तो आप स्वचालित छेड़छाड़ के उच्च जोखिम में हैं।.
इन जोखिमों को देखते हुए, साइट के मालिकों को तत्काल शमन और सत्यापन को प्राथमिकता देनी चाहिए।.
तत्काल, सुरक्षित सुधारात्मक कदम (साइट के मालिकों और प्रशासकों के लिए)
- प्लगइन को तुरंत 1.1.0 पर अपडेट करें।.
यह सबसे अच्छा एकल कार्य है। वर्डप्रेस डैशबोर्ड के माध्यम से अपडेट करें या अपने नियंत्रित रिलीज़ प्रक्रिया में मैन्युअल रूप से लागू करें। प्राधिकरण सुधार की पुष्टि करने के लिए प्लगइन चेंज लॉग या रिलीज़ नोट्स की जांच करें।.
- यदि आप तुरंत अपडेट नहीं कर सकते, तो आपातकालीन वर्चुअल पैचिंग की तलाश करें।.
अपने होस्टिंग प्रदाता या एक विश्वसनीय सुरक्षा पेशेवर से संपर्क करें ताकि वे अस्थायी फ़िल्टरिंग (वर्चुअल पैचिंग) को वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी परत पर लागू कर सकें ताकि आप अपडेट कर सकें।.
- साइट की उपस्थिति और सामग्री का ऑडिट करें।.
सक्रिय रखरखाव/आने वाले टेम्पलेट और थीम विकल्पों की पुष्टि करें। में अप्रत्याशित परिवर्तनों की जांच करें:
- Appearance > Customize
- प्लगइन से संबंधित प्लगइन सेटिंग पृष्ठ
- सार्वजनिक लैंडिंग पृष्ठ और कोई भी लैंडिंग टेम्पलेट
यदि आप सक्रिय अप्रत्याशित टेम्पलेट देखते हैं, तो ज्ञात अच्छे स्थिति में वापस लौटें और घटना विश्लेषण के लिए परिवर्तन को रिकॉर्ड करें।.
- Review users & accounts.
पुष्टि करें कि कोई अज्ञात व्यवस्थापक खाते नहीं हैं। सभी व्यवस्थापक खातों के लिए मजबूत पासवर्ड लागू करें और जहां संभव हो, दो-कारक प्रमाणीकरण (2FA) सक्षम करें।.
- मैलवेयर और अनधिकृत सामग्री के लिए स्कैन करें।.
पूर्ण साइट मैलवेयर स्कैन और फ़ाइल अखंडता जांच चलाएँ। इंजेक्टेड स्क्रिप्ट, संदिग्ध बेस64 स्ट्रिंग, अप्रत्याशित दूरस्थ संसाधन या अपरिचित डोमेन के लिंक की तलाश करें।.
- यदि आप समझौते के सबूत पाते हैं तो महत्वपूर्ण रहस्यों को घुमाएँ।.
API कुंजी, SMTP क्रेडेंशियल और एकीकरण पासवर्ड बदलें। यदि आप निरंतर संशोधन का संदेह करते हैं, तो वर्डप्रेस सॉल्ट और कुंजी को घुमाने पर विचार करें।.
- आवश्यकतानुसार बैकअप से पुनर्स्थापित करें।.
यदि आप निरंतर छेड़छाड़ का पता लगाते हैं और दुर्भावनापूर्ण सामग्री को आत्मविश्वास से समाप्त नहीं कर सकते हैं, तो परिवर्तन से पहले लिए गए ज्ञात अच्छे बैकअप से पुनर्स्थापित करें। पुनर्स्थापना के बाद, प्लगइन अपडेट और अस्थायी सुरक्षा लागू करें इससे पहले कि सार्वजनिक पहुंच को फिर से जोड़ा जाए।.
- लॉग को संरक्षित करें।.
जांच और सबूत संग्रह का समर्थन करने के लिए कम से कम 30 दिनों के लिए सर्वर और एप्लिकेशन लॉग (एक्सेस लॉग, त्रुटि लॉग, ऑडिट ट्रेल) रखें।.
अपने साइट की सुरक्षा कैसे करें अब (वर्चुअल पैचिंग, नियम और निगरानी)
यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो नेटवर्क या एप्लिकेशन परत पर आपातकालीन शमन की व्यवस्था करें। अनुरोध करने या लागू करने के लिए सामान्य रक्षा क्रियाएँ:
- वर्चुअल पैचिंग (WAF नियम): उन अनुरोधों को रोकने के लिए नियम लागू करें जो कमजोर अंत बिंदुओं को सक्रिय करने का प्रयास करते हैं और अनधिकृत क्रियाओं को अवरुद्ध करते हैं। सामान्य स्थितियों में उन प्लगइन क्रिया अंत बिंदुओं पर POST/GET अनुरोधों को अवरुद्ध करना शामिल है जिनमें मान्य वर्डप्रेस प्रमाणीकरण कुकीज़ या मान्य नॉनसेस की कमी है।.
- दर सीमा और विसंगति पहचान: स्वचालित स्कैनरों को कम करने के लिए प्रगतिशील दर सीमाएँ लागू करें जो सामूहिक शोषण का प्रयास करते हैं।.
- व्यवहारिक पहचान: टेम्पलेट सक्रियण में अचानक परिवर्तनों या रखरखाव मोड के बार-बार टॉगलिंग पर अलर्ट करें, और संदिग्ध गतिविधियों के लिए स्वचालित ब्लॉकिंग पर विचार करें।.
- फ़ाइल और विकल्प अखंडता निगरानी: सक्रिय टेम्पलेट स्थिति को स्टोर करने वाले प्रमुख wp_options प्रविष्टियों की निगरानी करें और प्लगइन या थीम फ़ाइलों में अप्रत्याशित परिवर्तनों के लिए देखें।.
- नियंत्रित अपडेट: नियंत्रित विंडो में प्लगइन अपडेट की योजना बनाएं और निष्पादन करें और अपडेट के बाद के व्यवहार को मान्य करें।.
आपातकालीन वर्चुअल पैचिंग के लिए कैसे अनुरोध करें: अपने होस्टिंग प्रदाता, प्लेटफ़ॉर्म ऑपरेटर या एक विश्वसनीय सुरक्षा सलाहकार से CVE विवरण के साथ संपर्क करें और आपातकालीन WAF नियम का अनुरोध करें। नियमों को अनुकूलित और परीक्षण करने के लिए एक्सेस लॉग और प्रभावित एंडपॉइंट्स (यदि ज्ञात हो) प्रदान करें ताकि झूठे सकारात्मक को कम किया जा सके।.
वैचारिक ModSecurity-शैली का नियम (चित्रणात्मक, गैर-निष्पादनीय)
नीचे एक वैचारिक, उच्च-स्तरीय उदाहरण है जो उस प्रकार की स्थिति को दर्शाता है जिसे WAF लागू कर सकता है। इसे परीक्षण किए बिना उत्पादन में शाब्दिक रूप से न चिपकाएँ।.
# वैचारिक नियम: टेम्पलेट सक्रियण के लिए अनधिकृत प्रयासों को ब्लॉक करें
यह उन अनुरोधों को ब्लॉक करने को दर्शाता है जो टेम्पलेट सक्रियण को ट्रिगर करने का प्रयास करते हैं जहाँ कोई लॉग-इन कुकी मौजूद नहीं है। एक उत्पादन नियम को साइट-विशिष्ट एंडपॉइंट्स, नॉन्स और व्यवस्थापक कुकी पैटर्न के लिए ट्यून किया जाना चाहिए ताकि झूठे सकारात्मक से बचा जा सके।.
महत्वपूर्ण: वर्चुअल पैचिंग एक अस्थायी शमन है और प्लगइन को 1.1.0 में अपडेट करने का विकल्प नहीं है।.
पहचान और घटना के बाद फोरेंसिक्स
समझौते के संकेत (IoCs) की जांच करने के लिए
- प्लगइन के विकल्पों में अप्रत्याशित परिवर्तन (प्लगइन से संबंधित wp_options पंक्तियों का निरीक्षण करें)।.
- सार्वजनिक लैंडिंग पृष्ठ या टेम्पलेट में अचानक परिवर्तन बिना किसी संबंधित व्यवस्थापक क्रिया के।.
- प्लगइन या अपरिचित हुक से जुड़े नए निर्धारित कार्य (wp_cron)।.
- व्यवस्थापक लॉग प्रविष्टियाँ जो उन समयों में टेम्पलेट सक्रियण को दिखाती हैं जब कोई वैध व्यवस्थापक सक्रिय नहीं था।.
- सर्वर एक्सेस लॉग में प्लगइन एंडपॉइंट्स के लिए असामान्य POST अनुरोध।.
सबूत को सुरक्षित रूप से कैसे इकट्ठा करें
- वेब सर्वर एक्सेस लॉग और PHP त्रुटि लॉग को संरक्षित करें (इनमें संशोधन करने से बचें)।.
- ऑफ़लाइन विश्लेषण के लिए प्लगइन सेटिंग्स के लिए डेटाबेस पंक्तियों का निर्यात करें।.
- फोरेंसिक समीक्षा के लिए फ़ाइल सिस्टम स्नैपशॉट या पूर्ण साइट बैकअप लें।.
- सक्रिय प्लगइनों और उनके संस्करणों की सूची कैप्चर करें और प्लगइन चेंजलॉग को बनाए रखें।.
सुझाए गए फोरेंसिक कदम
- टेम्पलेट परिवर्तन के पहले संकेत की पहचान करें और उस समय विंडो के लिए लॉग एकत्र करें।.
- स्वचालित स्कैनिंग पैटर्न का पता लगाने के लिए IP पते और उपयोगकर्ता एजेंटों को सहसंबंधित करें।.
- जांचें कि क्या अन्य प्लगइनों या थीम में संशोधन किया गया था।.
- यदि हमलावर IP सक्रिय हैं, तो उन्हें WAF पर ब्लॉक करें और नेटवर्क स्तर पर ब्लॉकिंग के लिए अपने होस्ट के साथ समन्वय करें।.
- यदि प्रशासनिक क्रेडेंशियल्स का उपयोग बिना अनुमति के किया गया था, तो समझें कि समझौता हुआ है - क्रेडेंशियल्स को घुमाएं और एकीकरण की समीक्षा करें।.
सूचनाएँ और रिपोर्टिंग
यदि आपकी साइट उपयोगकर्ता डेटा संसाधित करती है और आप निर्धारित करते हैं कि एक उल्लंघन हुआ है, तो लागू क्षेत्रीय उल्लंघन सूचना कानूनों का पालन करें। अपने निष्कर्षों की रिपोर्ट प्लगइन रखरखावकर्ता को उनके आधिकारिक चैनलों के माध्यम से और यदि उपयुक्त हो तो वर्डप्रेस प्लगइन निर्देशिका समर्थन को करें। अपने सुरक्षा टीम और होस्टिंग प्रदाता के साथ स्वच्छ घटना सारांश साझा करें।.
डेवलपर मार्गदर्शन: इसे कैसे रोका जा सकता था
प्लगइन और थीम डेवलपर्स के लिए - टूटी हुई प्राधिकरण जांच सामान्य हैं लेकिन टाली जा सकती हैं। प्रमुख प्रथाएँ:
- क्षमता जांच: Always perform capability checks for administrative actions (e.g., current_user_can(‘manage_options’) or a capability appropriate to the action). Do not rely on obscurity such as hidden endpoints.
- नॉनसेस और सर्वर-साइड सत्यापन: फ़ॉर्म क्रियाओं के लिए wp_nonce_field() और wp_verify_nonce() का उपयोग करें और admin_ajax या admin_post अनुरोधों को संसाधित करते समय सर्वर-साइड पर मान्य करें।.
- REST API अनुमति कॉलबैक: REST रूट के लिए क्षमताओं को मान्य करने वाले उचित permission_callback फ़ंक्शन लागू करें।.
- न्यूनतम विशेषाधिकार: क्रिया के लिए आवश्यक न्यूनतम क्षमता की आवश्यकता करें और तर्क का दस्तावेजीकरण करें।.
- स्वचालित परीक्षण: ऐसे यूनिट और एकीकरण परीक्षण जोड़ें जो अनधिकृत उपयोगकर्ताओं के रूप में एंडपॉइंट्स का परीक्षण करें और सुनिश्चित करें कि संवेदनशील क्रियाएँ अस्वीकृत हैं।.
- खतरा मॉडलिंग और कोड समीक्षा: उन कोड के लिए सुरक्षा समीक्षकों को शामिल करें जो साइट की स्थिति को बदलते हैं या सार्वजनिक प्रस्तुति को प्रभावित करते हैं।.
- लॉगिंग और ऑडिट ट्रेल: Log important admin actions and enable an audit trail for “who changed what”.
परतदार सुरक्षा क्यों महत्वपूर्ण है
कोई एकल नियंत्रण परिपूर्ण नहीं है। एक मजबूत स्थिति में शामिल हैं:
- त्वरित अपडेट (पैचिंग)
- आपातकालीन कवरेज के लिए अस्थायी वर्चुअल पैचिंग (WAF)
- खाता स्वच्छता (2FA, मजबूत पासवर्ड)
- निगरानी और घुसपैठ पहचान
- बैकअप और पुनर्प्राप्ति योजना
जोखिम को कम करने और पुनर्प्राप्ति की गति बढ़ाने के लिए इन उपायों का संयोजन करें।.
व्यावहारिक चेकलिस्ट (अब क्या करना है)
साइट के मालिकों/ऑपरेटरों के लिए
- Check plugin versions and update Ultimate Coming Soon & Maintenance to 1.1.0.
- यदि अपडेट तुरंत लागू नहीं किया जा सकता है, तो अपने होस्ट या सुरक्षा प्रदाता से आपातकालीन वर्चुअल पैचिंग का अनुरोध करें।.
- एक पूर्ण मैलवेयर स्कैन चलाएं और अप्रत्याशित परिवर्तनों के लिए सार्वजनिक लैंडिंग पृष्ठ की समीक्षा करें।.
- अप्रत्याशित टेम्पलेट सक्रियण के लिए wp_options और प्लगइन सेटिंग्स की समीक्षा करें।.
- पुष्टि करें कि कोई अज्ञात प्रशासनिक उपयोगकर्ता नहीं हैं और 2FA लागू करें।.
- साइट का बैकअप लें और कम से कम 30 दिनों के लिए लॉग को संरक्षित करें।.
डेवलपर्स/रखरखाव करने वालों के लिए
- स्वचालित परीक्षण जोड़ें जो यह सुनिश्चित करते हैं कि अनधिकृत अनुरोध प्रशासनिक क्रियाएं नहीं कर सकते।.
- सभी प्रशासनिक AJAX और REST एंडपॉइंट्स की पुष्टि करें कि वे क्षमता जांच और नॉनसेस का उपयोग करते हैं।.
- सभी एंडपॉइंट्स की लक्षित कोड समीक्षा करें जो प्लगइन की स्थिति को बदलते हैं।.
- सुरक्षा-फिक्सिंग अपडेट जारी करें और उपयोगकर्ताओं के साथ स्पष्ट रूप से संवाद करें।.
उदाहरण पहचान प्रश्न और क्या देखना है
एक्सेस लॉग
एक छोटे समय विंडो में admin-ajax.php या प्लगइन-विशिष्ट पथों पर कई अनधिकृत POST अनुरोधों की तलाश करें। wordpress_logged_in कुकी की अनुपस्थिति के साथ सहसंबंधित करें।.
डेटाबेस (wp_options)
Export options where option_name LIKE ‘%coming_soon%’ or other option names used by the plugin and compare timestamps to known admin actions.
त्रुटि लॉग
असामान्य PHP चेतावनियाँ या प्रशासनिक संदर्भ के बाहर प्लगइन कार्यों के लिए कॉल प्रयास किए गए शोषण को इंगित कर सकते हैं।.
WAF अलर्ट
WAF ब्लॉक लॉग की समीक्षा करें और उन्हें संदिग्ध IPs से मिलाएं; जहां संभव हो, नेटवर्क स्तर पर लगातार अपराधियों को ब्लॉक करें।.
अक्सर पूछे जाने वाले प्रश्न
प्रश्न: क्या मेरा साइट तुरंत समझौता हो जाता है यदि मैं कमजोर प्लगइन संस्करण का उपयोग करता हूँ?
उत्तर: जरूरी नहीं। यह कमजोरी अनधिकृत टेम्पलेट सक्रियण की अनुमति देती है; यह अकेले प्रशासनिक खाता निर्माण या डेटा निकासी प्रदान नहीं करती है। हालाँकि, जोखिम मौजूद है और स्वचालित स्कैनर परिवर्तन करने का प्रयास कर सकते हैं। इसे तत्काल के रूप में मानें।.
प्रश्न: मैंने प्लगइन को अपडेट किया - क्या मुझे अभी भी कुछ और करना है?
उत्तर: हाँ। सुनिश्चित करें कि अपडेट सफलतापूर्वक पूरा हुआ, प्लगइन सेटिंग्स की पुष्टि करें, पूर्ण साइट स्कैन चलाएँ और किसी भी पूर्व छेड़छाड़ के लिए लॉग की समीक्षा करें। केवल तब अस्थायी उपायों को हटा दें जब यह पुष्टि हो जाए कि फिक्स किया गया संस्करण सक्रिय और परीक्षण किया गया है।.
प्रश्न: मैंने एक आभासी पैच का अनुरोध किया - इसे कितनी देर तक रहना चाहिए?
उत्तर: एक आभासी पैच को तब तक रखें जब तक साइट अपडेट न हो जाए और सामान्य प्रशासनिक कार्यप्रवाहों को मान्य न किया जाए। आभासी पैच उचित अपडेट के लिए समय खरीदने के अस्थायी उपाय हैं।.
Q: क्या मुझे प्लगइन को निष्क्रिय करना चाहिए?
उत्तर: यदि आने-जल्द ही कार्यक्षमता गैर-आवश्यक है, तो प्लगइन को निष्क्रिय करना तुरंत हमले की सतह को कम करता है। यदि यह महत्वपूर्ण है, तो अस्थायी सुरक्षा लागू करें और जल्द से जल्द अपडेट करें। निष्क्रिय करने से पहले बैकअप लें।.
अंतिम नोट्स और जिम्मेदार प्रकटीकरण
टूटी हुई पहुंच नियंत्रण एक सामान्य प्रकार की कमजोरियों में से एक है। यह मुद्दा दो तथ्यों को उजागर करता है:
- कोई भी प्लगइन जो साइट की स्थिति को बदलता है, उसे यह सत्यापित करना चाहिए कि अनुरोधकर्ता अधिकृत है।.
- त्वरित पहचान, अस्थायी आभासी पैचिंग और त्वरित अपडेट मिलकर सबसे विश्वसनीय रक्षा बनाते हैं।.
यदि आपको उपाय लागू करने में सहायता की आवश्यकता है, तो अपने होस्टिंग प्रदाता या एक विश्वसनीय सुरक्षा पेशेवर से संपर्क करें। उन्हें CVE-2024-9706 और प्लगइन संस्करण विवरण प्रदान करें ताकि वे कार्यों को प्राथमिकता दे सकें।.
जिम्मेदार प्रकटीकरण नोट: यह पोस्ट जानबूझकर चरण-दर-चरण शोषण निर्देशों से बचती है। यदि आप एक सुरक्षा शोधकर्ता या प्लगइन लेखक हैं जिनके पास अतिरिक्त निष्कर्ष हैं, तो विवरण को निजी तौर पर प्लगइन रखरखावकर्ता और होस्टिंग प्रदाता के साथ साझा करें ताकि व्यापक सार्वजनिक रिलीज से पहले समन्वित सुधार को सुविधाजनक बनाया जा सके।.
सतर्क रहें। — हांगकांग सुरक्षा विशेषज्ञ
