बज़ टिप्पणियों में प्रमाणित (प्रशासक) संग्रहीत XSS (≤ 0.9.4) — वर्डप्रेस साइट के मालिकों को अब क्या करना चाहिए

लेखक: हांगकांग सुरक्षा विशेषज्ञ | दिनांक: 2026-04-21

सारांश
बज़ टिप्पणियाँ वर्डप्रेस प्लगइन (संस्करण ≤ 0.9.4) में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता (CVE-2026-6041) का खुलासा 21 अप्रैल 2026 को किया गया। यह समस्या एक प्रमाणित प्रशासक को दुर्भावनापूर्ण स्क्रिप्ट पेलोड्स को संग्रहीत करने की अनुमति देती है जो बाद में उन पृष्ठों में प्रदर्शित होते हैं जिन्हें उपयोगकर्ता और प्रशासक देखते हैं। इस भेद्यता की रिपोर्ट की गई CVSS 4.4 है और इसका शोषण करने के लिए प्रशासक विशेषाधिकार की आवश्यकता होती है। जबकि उच्च विशेषाधिकार की आवश्यकता के कारण आधारभूत जोखिम सीमित है, संग्रहीत XSS एक वास्तविक खतरा बना हुआ है — विशेष रूप से उन साइटों के लिए जहां प्रशासनिक खाते समझौता, साझा या कमजोर क्रेडेंशियल्स के माध्यम से सुलभ हो सकते हैं। यह सलाहकार भेद्यता, वास्तविक दुनिया में प्रभाव, पहचान और शमन के कदमों, और अस्थायी सुरक्षा उपायों को समझाता है जिन्हें आप तुरंत लागू कर सकते हैं।.

क्या हुआ (साधारण भाषा)

एक सुरक्षा शोधकर्ता ने पाया कि बज़ टिप्पणियाँ प्लगइन संस्करण 0.9.4 तक कुछ इनपुट को ठीक से साफ़ या.escape नहीं करता है जो बाद में साइट संदर्भ में प्रदर्शित होते हैं। क्योंकि प्लगइन प्रशासकों को सामग्री (उदाहरण के लिए, प्लगइन सेटिंग्स या टिप्पणी-जैसे फ़ील्ड में) सहेजने की अनुमति देता है और फिर उस संग्रहीत सामग्री को पृष्ठों या डैशबोर्ड स्क्रीन में पर्याप्त आउटपुट एन्कोडिंग के बिना वापस प्रदर्शित करता है, एक प्रशासक-नियंत्रित पेलोड विज़िटर्स और अन्य प्रशासकों के ब्राउज़र संदर्भ में JavaScript को निष्पादित कर सकता है।.

महत्वपूर्ण विशेषताएँ:

• हमले का वेक्टर: संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS)।.
• 15. प्रभाव: गोपनीयता उल्लंघन — वेब सर्वर पर फ़ाइलें पढ़ी और डाउनलोड की जा सकती हैं।.
• प्रभाव: पीड़ित के ब्राउज़र में मनमाने JavaScript का निष्पादन (यह साइट के विज़िटर्स या अन्य प्रशासक हो सकते हैं)। इसमें सत्र चोरी, UI पुनर्निर्देशन, मैलवेयर इंजेक्शन, या CSRF-जैसे प्रवाह के माध्यम से प्रशासनिक खाते का दुरुपयोग शामिल हो सकता है।.
• पैच किया गया रिलीज़: खुलासे के समय, कोई आधिकारिक पैच किया गया रिलीज़ उपलब्ध नहीं है। साइट के मालिकों को तुरंत शमन लागू करना चाहिए।.

यह क्यों महत्वपूर्ण है भले ही प्रशासक की आवश्यकता हो

पेलोड को रखने के लिए प्रशासक की आवश्यकता होने से संभावना कम होती है लेकिन जोखिम को समाप्त नहीं करती है। इन वास्तविक परिदृश्यों पर विचार करें:

• समझौता किया गया प्रशासक खाता: यदि एक प्रशासक को फ़िश किया जाता है, अनुमानित किया जाता है, या अन्यथा समझौता किया जाता है, तो एक हमलावर एक स्थायी पेलोड स्थापित कर सकता है जो विज़िटर्स और अन्य लॉगिन किए गए उपयोगकर्ताओं को प्रभावित करता है।.
• बागी या लापरवाह प्रशासक: कई प्रशासकों (एजेंसियों, ग्राहकों, ठेकेदारों) वाली साइटें कभी-कभी आवश्यक से अधिक पहुंच देती हैं। एक नाराज या लापरवाह प्रशासक जानबूझकर या अनजाने में एक पेलोड पेश कर सकता है।.
• आपूर्ति श्रृंखला और तीसरे पक्ष की पहुंच: एकीकरण, API टोकन, या प्रतिनिधि उपकरण जो प्रशासक विशेषाधिकार के साथ कार्य करते हैं, संग्रहीत पेलोड्स को डालने के लिए दुरुपयोग किए जा सकते हैं।.
• पार्श्व आंदोलन: संग्रहीत XSS कुकी/टोकन चोरी का कारण बन सकता है, जिससे वृद्धि और पूर्ण साइट समझौता सक्षम होता है।.

तकनीकी सारांश (क्या हो रहा है)

संग्रहीत XSS आमतौर पर एक सरल पैटर्न का पालन करता है:

1. एक इनपुट फ़ील्ड (सेटिंग्स फ़ील्ड, टिप्पणी बॉक्स, प्रशासन द्वारा नियंत्रित सामग्री) उपयोगकर्ता द्वारा प्रदान किए गए डेटा को स्वीकार करता है।.
2. प्लगइन उस डेटा को उचित सर्वर-साइड सफाई के बिना डेटाबेस में बनाए रखता है।.
3. बाद में, प्लगइन उस डेटा को HTML पृष्ठों में उचित एस्केपिंग/कोडिंग के बिना आउटपुट करता है। जब पृष्ठ को देखा जाता है, तो ब्राउज़र पेलोड को कोड के रूप में व्याख्या करता है और इसे निष्पादित करता है।.

रिपोर्ट किए गए बज़ टिप्पणियाँ मुद्दे में:

• प्लगइन प्रशासन द्वारा प्रदान की गई सामग्री को स्वीकार करता है और इसे संग्रहीत करता है।.
• संग्रहीत सामग्री को प्रशासन स्क्रीन या फ्रंट-एंड पृष्ठों पर उस संदर्भ में आउटपुट किया जाता है जहाँ JavaScript निष्पादन संभव है।.
• प्लगइन HTML एंटिटीज़ को एस्केप करने में विफल रहता है (उदाहरण के लिए, < को < में बदलना) और/या असुरक्षित विशेषताओं को हटा देता है।.

नोट: सटीक प्रभावित फ़ील्ड और फ़ाइल नाम प्लगइन आंतरिक हैं और संस्करण के अनुसार भिन्न हो सकते हैं। मान लें कि किसी भी स्थान पर जहाँ प्रशासन द्वारा नियंत्रित पाठ प्रदर्शित होता है, वह प्रभावित हो सकता है जब तक कि एक पैच जारी नहीं किया जाता।.

वास्तविक दुनिया के शोषण परिदृश्य

हमले की श्रृंखलाएँ अक्सर सरल और प्रभावी होती हैं:

• परिदृश्य A — आगंतुकों पर स्थायी हमला: हमलावर एक प्रशासन खाता से समझौता करता है और सार्वजनिक फ़ुटर पर प्रदर्शित होने वाले प्लगइन सेटिंग्स फ़ील्ड में एक स्क्रिप्ट पेलोड जोड़ता है। अब हर आगंतुक हमलावर की स्क्रिप्ट को निष्पादित करता है — फ़िशिंग पृष्ठों, नकली लॉगिन प्रॉम्प्ट, या ड्राइव-बाय मैलवेयर पर रीडायरेक्ट करने की अनुमति देता है।.
• परिदृश्य B — लक्षित प्रशासन अधिग्रहण: एक हमलावर एक स्क्रिप्ट संग्रहीत करता है जो अन्य प्रशासन को “पुनः प्रमाणीकरण” करने के लिए प्रेरित करता है और चोरी किए गए क्रेडेंशियल्स को एक बाहरी एंडपॉइंट पर पोस्ट करता है। जो प्रशासन इसके लिए गिरते हैं, वे सत्र कुकीज़ या क्रेडेंशियल्स खो देते हैं, जिससे पूर्ण अधिग्रहण की अनुमति मिलती है।.
• परिदृश्य C — कीड़ा जैसे प्रसार: हमलावर एक स्क्रिप्ट संग्रहीत करता है जो उपलब्ध टोकन का उपयोग करता है या अधिक प्रशासनिक उपयोगकर्ताओं को बनाने या अन्य प्लगइनों को संशोधित करने के लिए प्रमाणित REST एंडपॉइंट्स को बुलाता है। इसके लिए अतिरिक्त शर्तें आवश्यक हैं लेकिन यह खराब सुरक्षा वाले साइटों पर संभव है।.

अपनी जोखिम का त्वरित आकलन कैसे करें

यदि आप बज़ टिप्पणियाँ (≤ 0.9.4) के साथ वर्डप्रेस चला रहे हैं, तो तुरंत इस ट्रायेज़ चेकलिस्ट का पालन करें:

• पहचानें कि क्या बज़ टिप्पणियाँ स्थापित हैं और कौन सा संस्करण सक्रिय है। वर्डप्रेस डैशबोर्ड से: प्लगइन्स → स्थापित प्लगइन्स → संस्करण जांचें। या WP-CLI चलाएँ: wp प्लगइन सूची.
• किसी भी अप्रत्याशित HTML या JavaScript के लिए प्रशासन-संपादनीय फ़ील्ड की समीक्षा करें। प्लगइन सेटिंग्स, किसी भी “कस्टम HTML” फ़ील्ड, टिप्पणी सामग्री, और प्रशासन-फेसिंग विजेट्स पर ध्यान दें।.
• प्लगइन से संबंधित प्रविष्टियों के लिए डेटाबेस की जांच करें (विकल्प तालिका: 11. संदिग्ध सामग्री के साथ।, पोस्टमेटा, टिप्पणी मेटा, या कस्टम तालिकाएँ जो प्लगइन उपयोग कर सकता है)। संदिग्ध सामग्री की तलाश करें जिसमें
  मेरा ऑर्डर देखें

  0

  उप-योग

  चेकआउट पर कर और शिपिंग की गणना की गई

  चेकआउट