तत्काल: डोकोडोको स्टोर लोकेटर (≤ 1.0.1) — प्रमाणित (संपादक+) मनमाने फ़ाइल अपलोड भेद्यता और आपको अब क्या करना चाहिए

तारीख: 15 अक्टूबर 2025
लेखक: हांगकांग सुरक्षा विशेषज्ञ

यह सलाह एक महत्वपूर्ण मुद्दे (CVE-2025-10754) से संबंधित है जो डोकोडोको स्टोर लोकेटर संस्करणों ≤ 1.0.1 को प्रभावित करता है। यह दोष संपादक विशेषाधिकार (या उच्चतर) वाले प्रमाणित उपयोगकर्ताओं को साइट पर मनमाने फ़ाइलें अपलोड करने की अनुमति देता है। इस भेद्यता का CVSS 7.2 है और, प्रकाशन के समय, कोई विक्रेता पैच उपलब्ध नहीं है। इसे ध्यान से पढ़ें और यदि यह प्लगइन आपके वर्डप्रेस साइट पर स्थापित है तो तुरंत कार्रवाई करें।.

त्वरित सारांश (साइट प्रशासकों के लिए)

• डोकोडोको स्टोर लोकेटर (≤ 1.0.1) में एक प्रमाणित मनमाना फ़ाइल अपलोड भेद्यता है जो संपादक भूमिका या उससे ऊपर की आवश्यकता है।.
• संपादक पहुंच वाले एक हमलावर PHP बैकडोर/वेबशेल अपलोड कर सकता है, जिससे दूरस्थ कोड निष्पादन, स्थायी उपस्थिति और डेटा चोरी होती है।.
• अभी तक कोई आधिकारिक पैच उपलब्ध नहीं है। तत्काल समाधान आवश्यक है: प्लगइन को हटा दें या निष्क्रिय करें, संपादक अपलोड क्षमता को सीमित करें, अपलोड को दुर्भावनापूर्ण फ़ाइलों के लिए स्कैन करें, क्रेडेंशियल्स को बदलें, और जहां संभव हो, अपने होस्ट या सुरक्षा उपकरण के माध्यम से आभासी पैच लागू करें।.
• यदि आप कई साइटों का संचालन करते हैं या ग्राहकों का प्रबंधन करते हैं, तो पहले उच्चतम जोखिम वाली साइटों को प्राथमिकता दें (उच्च ट्रैफ़िक, कई संपादक, उपयोगकर्ता-जनित सामग्री)।.

यह क्यों गंभीर है

मनमाने फ़ाइल अपलोड भेद्यताएँ सामग्री प्रबंधन प्रणालियों के लिए उच्च प्रभाव डालती हैं:

• हमलावर PHP बैकडोर या वेबशेल लगा सकते हैं जो कमांड निष्पादन और पूर्ण साइट समझौता की अनुमति देते हैं।.
• अपलोड को छिपाया जा सकता है (डबल एक्सटेंशन, नाम बदले हुए फ़ाइलें) और बाद में सीधे या स्थानीय फ़ाइल समावेशन दोषों के माध्यम से निष्पादित किया जा सकता है।.
• संपादक विशेषाधिकार अक्सर सामग्री निर्माण और मीडिया हेरफेर की अनुमति देते हैं, जो व्यावहारिक रूप से अपलोड के दुरुपयोग पर पूर्ण नियंत्रण प्राप्त करने के लिए पर्याप्त है।.
• ज्ञात, बिना पैच वाली भेद्यताएँ स्वचालित स्कैनिंग और सामूहिक शोषण को आकर्षित करती हैं। त्वरित समाधान जोखिम समय को महत्वपूर्ण रूप से कम करता है।.

उच्च-स्तरीय शोषण प्रवाह

1. हमलावर संपादक स्तर की पहुंच प्राप्त करता है (समझौता खाता, क्रेडेंशियल चोरी, सामाजिक इंजीनियरिंग)।.
2. हमलावर प्लगइन के अपलोड एंडपॉइंट या प्रशासन स्क्रीन के माध्यम से एक दुर्भावनापूर्ण फ़ाइल अपलोड करता है।.
3. अपर्याप्त सत्यापन/भंडारण PHP या निष्पादन योग्य सामग्री को वेब-सुलभ स्थान में संग्रहीत करने की अनुमति देता है।.
4. हमलावर फ़ाइल को कमांड निष्पादित करने, पिवट करने या स्थायी बैकडोर स्थापित करने के लिए ट्रिगर करता है।.

तत्काल कदम जो आपको उठाने चाहिए (घटना प्रतिक्रिया चेकलिस्ट)

यदि आपकी साइट DocoDoco स्टोर लोकेटर (≤ 1.0.1) का उपयोग करती है, तो तुरंत निम्नलिखित करें:

1. हमलावर के प्रभाव को कम करने के लिए साइट को रखरखाव या सीमित मोड में रखें।.
2. DocoDoco स्टोर लोकेटर प्लगइन को निष्क्रिय या हटा दें। यदि आप इसे तुरंत हटा नहीं सकते हैं, तो प्लगइन कोड को लोड होने से रोकने के लिए SFTP/SSH के माध्यम से प्लगइन फ़ोल्डर का नाम बदलें:

   sudo mv wp-content/plugins/docodoco-store-locator wp-content/plugins/docodoco-store-locator.disabled

3. सभी प्रशासकों और संपादकों के लिए पासवर्ड रीसेट करने के लिए मजबूर करें। अपलोड, संपादित या प्रकाशित करने की अनुमति वाले किसी भी उपयोगकर्ता के लिए पासवर्ड रीसेट करने के लिए मजबूर करें।.
4. साइट से संबंधित किसी भी API कुंजी, एकीकरण क्रेडेंशियल या बाहरी टोकन को रद्द करें और फिर से जारी करें।.
5. मौजूदा सत्रों को अमान्य करने के लिए wp-config.php में वर्डप्रेस सॉल्ट और कुंजियों को घुमाएं।.
6. हाल के या संदिग्ध फ़ाइलों के लिए wp-content/uploads और अन्य लिखने योग्य निर्देशिकाओं को स्कैन करें (देखें शिकार और पहचान)।.
7. प्रकटीकरण तिथि के बाद बनाए गए उपयोगकर्ता खातों का ऑडिट करें; अपरिचित खातों को तुरंत हटा दें।.
8. अनधिकृत परिवर्तनों के लिए अनुसूचित कार्यों (wp-cron), थीम/प्लगइन फ़ाइल संशोधनों, .htaccess और wp-config.php की जांच करें।.
9. यदि समझौते के संकेत मौजूद हैं (वेबशेल, अज्ञात प्रक्रियाएँ, बैकडोर), तो साइट को अलग करें और तुरंत एक पेशेवर घटना प्रतिक्रियाकर्ता या अपने होस्ट से संपर्क करें।.
10. यदि आप एक साफ स्थिति सुनिश्चित नहीं कर सकते हैं, तो समझौते से पहले बनाए गए ज्ञात-अच्छे बैकअप से पुनर्स्थापित करें।.

जहां संभव हो, इन कदमों को अपने होस्टिंग प्रदाता या सुरक्षा संचालन टीम के साथ समन्वयित करें ताकि वे नेटवर्क-स्तरीय संकुचन और आभासी पैचिंग में सहायता कर सकें।.

शिकार और पहचान: अब चलाने के लिए आदेश और जांच

संदिग्ध अपलोड या संशोधनों का पता लगाने के लिए निम्नलिखित जांचों का उपयोग करें। अपने वातावरण के लिए आदेशों को अनुकूलित करें।.

हाल के या संदिग्ध फ़ाइलों के लिए अपलोड खोजें

find wp-content/uploads -type f -mtime -30 -printf '%TY-%Tm-%Td %TT %p

find wp-content/uploads -type f \( -iname '*.php' -o -iname '*.phtml' -o -iname '*.php5' -o -iname '*.php7' \) -print

grep -R --line-number --exclude-dir=cache --exclude-dir=logs '<?php' wp-content/uploads || true

find wp-content/uploads -type f -regextype posix-extended -regex '.*\.(php|phtml|php5|php7|phar|pl|py)$' -print

संशोधित कोर/प्लगइन/थीम फ़ाइलों की जांच करें

find . -type f -name '*.php' -mtime -30 -printf '%TY-%Tm-%Td %TT %p

उपयोगकर्ताओं और विकल्पों की जांच करें (WP-CLI की सिफारिश की गई)

wp user list --fields=ID,user_login,user_email,roles,user_registered

wp option get active_plugins

.htaccess की जांच करें

tail -n 200 .htaccess

वेबशेल पैटर्न का पता लगाने के लिए मैलवेयर स्कैनर का उपयोग करें। संदिग्ध फ़ाइलों को क्वारंटाइन करें और उनके निर्माण समय और अपलोडर खातों की जांच करें।.

अल्पकालिक उपाय जो आप अभी लागू कर सकते हैं

1. प्लगइन को अक्षम या हटा दें — यह सबसे विश्वसनीय तात्कालिक उपाय है।.
2. अपलोड निर्देशिका में PHP के निष्पादन को रोकें:

   Apache (.htaccess wp-content/uploads के तहत):

   <FilesMatch "\.(php|phtml|php5|php7|phar)$">
     Deny from all
   </FilesMatch>

   Nginx: अपलोड में निष्पादन को रोकने के लिए स्थान नियम जोड़ें या अपने होस्ट से परिवर्तन लागू करने के लिए कहें।.

3. प्लगइन के पैच होने तक संपादक भूमिका से upload_files क्षमता अस्थायी रूप से हटा दें:

   wp role remove-cap editor upload_files

   नोट: यह संपादक की कार्यक्षमता को कम करता है। सामग्री टीमों को परिवर्तनों की जानकारी दें।.

4. अपलोड हैंडलिंग को मजबूत करें: स्वीकृत MIME प्रकारों को सीमित करें और अपलोड सीमा पर सामग्री की जांच करें।.
5. अपने WAF पर आभासी पैचिंग नियम लागू करें या अपने होस्ट से प्लगइन-विशिष्ट एंडपॉइंट और संदिग्ध अपलोड पैटर्न को ब्लॉक करने के लिए कहें।.
6. प्लगइन एंडपॉइंट्स पर POST अनुरोधों, अप्रत्याशित फ़ाइल अपलोड या सामग्री-प्रकार असंगतियों के लिए लॉग की निगरानी करें।.

अनुशंसित WAF नियम / हस्ताक्षर (सैद्धांतिक)

ये ऑपरेटरों के लिए उच्च-स्तरीय नियम विचार हैं; झूठे सकारात्मक से बचने के लिए पहले पहचान मोड में परीक्षण करें।.

• प्लगइन के अपलोड एंडपॉइंट पर अपलोड को ब्लॉक करें जब तक कि प्रमाणित उपयोगकर्ता एक व्यवस्थापक न हो या अनुरोध एक विश्वसनीय IP सेट से उत्पन्न न हो। शर्त: अनुरोध पथ /wp-content/plugins/docodoco-store-locator/*upload* से मेल खाता है या admin-ajax क्रिया प्लगइन अपलोड क्रिया के बराबर है।.
• उन multipart/form-data अपलोड को अस्वीकार करें जहां फ़ाइल भाग में PHP ओपन टैग होते हैं (जैसे, <?php या सामान्य अस्पष्टताएँ)।.
• डबल एक्सटेंशन वाले फ़ाइल नामों (जैसे, image.php.jpg) या निष्पादन योग्य एक्सटेंशन वाले फ़ाइल नामों को अस्वीकार करें। अस्वीकृत एक्सटेंशन से मेल खाने के लिए एक regex का उपयोग करें।.
• MIME स्निफ़िंग को लागू करें: जब घोषित MIME image/* हो लेकिन फ़ाइल हेडर text/php को इंगित करता हो तो ब्लॉक करें।.
• संदिग्ध उपयोगकर्ता एजेंटों और प्लगइन पथों पर दोहराए गए स्वचालित अपलोड प्रयासों को ब्लॉक करें।.

व्यवधान से बचने के लिए अपने होस्ट के साथ नियम तैनाती का समन्वय करें।.

दीर्घकालिक डेवलपर सुधार (प्लगइन लेखकों के लिए)

डेवलपर को कोड-स्तरीय सुधार और सुरक्षित अपलोड हैंडलिंग लागू करनी चाहिए:

1. सख्त क्षमता जांच: हमेशा उपयुक्त क्षमताओं के साथ current_user_can() का उपयोग करें (भूमिका नामों पर निर्भर न रहें)।.
2. नॉनस सत्यापन: स्थिति-परिवर्तनकारी क्रियाओं के लिए वर्डप्रेस नॉनस की पुष्टि करें।.
3. कोर अपलोड हैंडलिंग का उपयोग करें: MIME और एक्सटेंशन जांच के लिए wp_handle_upload() और wp_check_filetype_and_ext()।.
4. स्वीकृत फ़ाइल प्रकारों को न्यूनतम आवश्यक सेट तक सीमित करें और फ़ाइल सामग्री की पुष्टि करें, केवल एक्सटेंशन नहीं।.
5. जहां संभव हो, अपलोड को वेब रूट के बाहर स्टोर करें और एक नियंत्रित प्रॉक्सी के माध्यम से सेवा करें जो पहुंच नियमों को लागू करता है।.
6. फ़ाइल नामों को साफ करें (sanitize_file_name()) और निर्देशिका यात्रा को रोकें।.
7. सुनिश्चित करें कि सर्वर को लिखने योग्य निर्देशिकाओं में अपलोड की गई फ़ाइलों के निष्पादन को रोकने के लिए कॉन्फ़िगर किया गया है।.
8. ऑडिटिंग और घटना प्रतिक्रिया के लिए उपयोगकर्ता संदर्भ के साथ अपलोड गतिविधि को लॉग करें।.
9. अपलोड एंडपॉइंट्स पर दर सीमा निर्धारित करें और स्वचालन विरोधी सुरक्षा लागू करें।.
10. सुरक्षा-केंद्रित यूनिट परीक्षण और निरंतर सुरक्षा समीक्षाएँ जोड़ें।.

घटना के बाद की सफाई: यह सुनिश्चित करने के लिए कि आप साफ हैं

1. साइट को रखरखाव मोड में डालें और फोरेंसिक विश्लेषण के लिए एक पूर्ण फ़ाइल + डेटाबेस बैकअप लें।.
2. यदि संभव हो तो सार्वजनिक पहुंच को संगरोध या अवरुद्ध करें।.
3. संदिग्ध फ़ाइलों, अज्ञात व्यवस्थापक उपयोगकर्ताओं और संशोधित कोड की पहचान के लिए शिकार चेकलिस्ट का पालन करें।.
4. संशोधित कोर, थीम और प्लगइन फ़ाइलों को विश्वसनीय स्रोतों से साफ़ प्रतियों के साथ बदलें या वर्डप्रेस कोर को फिर से स्थापित करें।.
5. संदिग्ध उपयोगकर्ताओं को हटा दें और सक्रिय सत्रों को नष्ट करें:

   wp user session destroy

6. सभी व्यवस्थापक/संपादक पासवर्ड रीसेट करें और बाहरी क्रेडेंशियल्स (FTP, होस्टिंग पैनल, API कुंजी) को अपडेट करें।.
7. wp-config.php में वर्डप्रेस सॉल्ट और कुंजी घुमाएँ।.
8. सफाई के बाद साइट और अपलोड को फिर से स्कैन करें।.
9. यदि आवश्यक हो, तो किसी भी समझौते से पहले बनाए गए एक साफ बैकअप से पुनर्स्थापित करें, फिर पुनर्स्थापित साइट को मजबूत करें।.
10. पुनरावृत्ति के लिए लॉग और ट्रैफ़िक की बारीकी से निगरानी करें।.

यदि आप सफाई में आत्मविश्वास नहीं रखते हैं, तो एक पेशेवर घटना प्रतिक्रिया प्रदाता या आपके होस्टिंग प्रदाता की सुरक्षा टीम को शामिल करें।.

पहचान और निगरानी सिफारिशें

• उपयोगकर्ता क्रियाओं (लॉगिन, भूमिका परिवर्तन, अपलोड) के लिए ऑडिट लॉगिंग सक्षम करें।.
• प्लगइन्स, थीम और अपलोड में अप्रत्याशित संशोधनों को पकड़ने के लिए फ़ाइल सिस्टम परिवर्तनों की निगरानी करें।.
• अपलोड या अन्य लिखने योग्य निर्देशिकाओं में PHP फ़ाइलों के निर्माण पर अलर्ट करें।.
• वेब सर्वर से असामान्य आउटबाउंड कनेक्शनों पर नज़र रखें जो कमांड-और-नियंत्रण गतिविधि का संकेत दे सकते हैं।.
• एक साफ़ आधार रेखा बनाए रखें और इसके खिलाफ आवधिक अखंडता जांच चलाएँ।.

क्यों वर्चुअल पैचिंग अब महत्वपूर्ण है

जब एक भेद्यता सार्वजनिक होती है और कोई आधिकारिक पैच मौजूद नहीं होता है, तो एक आभासी पैच (आपके WAF, CDN, या होस्ट के माध्यम से) ज्ञात हमले के वेक्टर को अवरुद्ध करके तुरंत जोखिम को कम कर सकता है। यह एक अस्थायी उपाय है - जब यह उपलब्ध हो तो इसे लागू करने के लिए एक अपस्ट्रीम विक्रेता पैच का विकल्प नहीं है। अवरोधन सक्षम करने से पहले पहचान मोड में नियमों का परीक्षण करें।.

व्यावहारिक हार्डनिंग चेकलिस्ट (गहराई में रक्षा)

1. यदि यह आवश्यक नहीं है तो कमजोर प्लगइन को हटा दें या निष्क्रिय कर दें।.
2. संदिग्ध अपलोड और प्लगइन-विशिष्ट एंडपॉइंट्स को ब्लॉक करने के लिए अपने होस्ट, WAF या सुरक्षा उपकरण के माध्यम से वर्चुअल पैचिंग लागू करें।.
3. PHP निष्पादन को रोकने के लिए अपलोड निर्देशिका को हार्डन करें।.
4. प्लगइन अपडेट होने तक संपादक भूमिका से अपलोड क्षमता हटा दें।.
5. संपादकों और प्रशासकों के लिए पासवर्ड रीसेट करने के लिए मजबूर करें और जहां उपलब्ध हो, MFA सक्षम करें।.
6. साइट से संबंधित सभी नमक, कुंजी और क्रेडेंशियल्स को घुमाएं।.
7. ऑडिट लॉग और फ़ाइल अखंडता निगरानी सक्षम करें।.
8. सुनिश्चित करें कि थीम और प्लगइन विश्वसनीय स्रोतों से हैं और अद्यतित रखे गए हैं।.
9. नियमित, परीक्षण किए गए ऑफसाइट बैकअप बनाए रखें।.

एक्सपोजर के आधार पर प्रतिक्रिया को प्राथमिकता दें।

• उच्च एक्सपोजर: उपयोगकर्ता-जनित सामग्री साइटें, कई संपादक खाते, या उच्च ट्रैफ़िक — तुरंत कार्य करें: प्लगइन हटाएं, वर्चुअल पैच करें, और स्कैन करें।.
• मध्यम एक्सपोजर: कुछ विश्वसनीय संपादक — व्यवधान को कम करने के लिए समन्वय के साथ वही कदम उठाएं।.
• कम एक्सपोजर: एकल-प्रशासक साइटों को अभी भी प्लगइन को हटाना या कम करना चाहिए; perceived low risk पर भरोसा न करें।.

उदाहरण: सुरक्षित अपलोड हैंडलिंग (डेवलपर संदर्भ)

निम्नलिखित एक सरल PHP पैटर्न है जो सुरक्षित अपलोड हैंडलिंग को दर्शाता है। यह केवल डेवलपर संदर्भ के लिए है।.

// उदाहरण: सुरक्षित हैंडलिंग पैटर्न (सरल)

टीमों के लिए संचार योजना

• सामग्री टीमों और संपादकों को अस्थायी परिवर्तनों के बारे में सूचित करें (अपलोड क्षमता हटा दी गई या सीमित कर दी गई)।.
• प्लगइन हटाने या अपडेट के लिए संचालन में व्यवधान को कम करने के लिए रखरखाव विंडो का समन्वय करें।.
• हितधारकों को सुधार प्रगति और किसी भी समझौते के सबूत के बारे में सूचित रखें।.

अंतिम प्राथमिकता सिफारिशें

1. यदि आप कमजोर प्लगइन चला रहे हैं, तो इसे तुरंत हटा दें या अक्षम करें।.
2. प्लगइन एंडपॉइंट्स को लक्षित करने वाले अपलोड प्रयासों को रोकने के लिए वर्चुअल पैचिंग (WAF/होस्ट नियम) लागू करें।.
3. PHP या संदिग्ध सामग्री के लिए अपलोड निर्देशिका को स्कैन करें और किसी भी खोज को सुधारें।.
4. क्रेडेंशियल्स को घुमाएं और प्रशासन/संपादक खातों के लिए मजबूत पासवर्ड और मल्टी-फैक्टर प्रमाणीकरण लागू करें।.
5. कमजोर कोड को हटाने और साइट की अखंडता को मान्य करने के बाद ही संपादक अपलोड क्षमता को फिर से पेश करें।.

समय महत्वपूर्ण है - स्वचालित स्कैनर और हमलावर ज्ञात, बिना पैच किए गए कमजोरियों का तेजी से परीक्षण करेंगे। यदि आपको सहायता की आवश्यकता है, तो तुरंत समर्थन के लिए एक विश्वसनीय घटना प्रतिक्रिया प्रदाता या आपके होस्टिंग प्रदाता की सुरक्षा टीम से संपर्क करें।.

— हांगकांग सुरक्षा विशेषज्ञ