TL;DR

On 30 January 2026 a DOM-based stored Cross‑Site Scripting (XSS) issue affecting NextGEN Gallery versions <= 3.59.11 (CVE‑2025‑2537) was disclosed by researcher Webbernaut and fixed in 3.59.12. A malicious contributor account can persist payloads in gallery metadata that are later interpreted unsafely by client-side ThickBox code, leading to script execution in visitors’ browsers — including editors or administrators who interact with gallery items. The CVSS is 6.5. Exploitation requires an authenticated contributor account and user interaction, but real risk exists for multi-author, membership, and community sites that accept uploads from untrusted users.

यदि आप NextGEN गैलरी चला रहे हैं, तो तुरंत 3.59.12 में अपडेट करें। यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो नीचे वर्णित शमन (हार्डनिंग, आपके WAF के माध्यम से वर्चुअल पैचिंग, पहचान और घटना प्रतिक्रिया) लागू करें ताकि जोखिम को कम किया जा सके।.

यह क्यों महत्वपूर्ण है (साधारण अंग्रेजी में)

NextGEN गैलरी का व्यापक रूप से उपयोग किया जाता है। समस्या इसलिए उत्पन्न होती है क्योंकि योगदानकर्ता द्वारा प्रदान किया गया मेटाडेटा स्टोर किया जाता है और बाद में थिकबॉक्स लाइटबॉक्स स्क्रिप्ट के लिए इनपुट के रूप में उपयोग किया जाता है। थिकबॉक्स सामग्री को इस तरह से संसाधित करता है कि यदि उस सामग्री को ठीक से एस्केप नहीं किया गया है तो यह गतिशील HTML/JS को निष्पादित कर सकता है। एक योगदानकर्ता विशेषाधिकार वाला हमलावर गैलरी फ़ील्ड में स्थायी पेलोड इंजेक्ट कर सकता है; जब एक उच्च-विशिष्ट उपयोगकर्ता या कोई भी आगंतुक कमजोर प्रदर्शन को ट्रिगर करता है, तो पेलोड उनके ब्राउज़र में निष्पादित होता है।.

परिणाम: सत्र चोरी, खाता अधिग्रहण, स्थायी स्पैम या पुनर्निर्देशन, क्लाइंट-साइड मैलवेयर, या साइट की सामग्री को बदलने के लिए प्रशासक सत्रों का दुरुपयोग। सहयोगी हांगकांग साइटों या क्षेत्रीय सामुदायिक पोर्टलों पर जहां योगदानकर्ता सामान्य हैं, यह एक वास्तविक खतरा है।.

तकनीकी सारांश

• भेद्यता प्रकार: स्टोर किया गया DOM-आधारित क्रॉस-साइट स्क्रिप्टिंग (XSS)
• प्रभावित सॉफ़्टवेयर: वर्डप्रेस के लिए NextGEN गैलरी प्लगइन
• प्रभावित संस्करण: <= 3.59.11
• में ठीक किया गया: 3.59.12
• CVE: CVE‑2025‑2537
• आवश्यक विशेषाधिकार: योगदानकर्ता (प्रमाणित)
• CVSS (सूचनात्मक): 6.5 (उपयोगकर्ता इंटरैक्शन की आवश्यकता)

यह कैसे काम करता है (सैद्धांतिक रूप से)

• एक योगदानकर्ता गैलरी मेटाडेटा (शीर्षक, विवरण, लिंक फ़ील्ड) जोड़/संपादित कर सकता है।.
• प्लगइन उस मेटाडेटा को डेटाबेस में स्टोर करता है।.
• जब गैलरी को प्रस्तुत किया जाता है, तो प्लगइन या थिकबॉक्स कोड स्टोर किए गए डेटा का उपयोग करके DOM फ़्रैगमेंट या विशेषताएँ बनाता है बिना पर्याप्त संदर्भ-सचेत एस्केपिंग के।.
• जब एक आगंतुक या प्रशासक गैलरी UI के साथ इंटरैक्ट करता है, तो थिकबॉक्स फ़्रैगमेंट को संसाधित करता है और ब्राउज़र हमलावर द्वारा प्रदान किए गए HTML/JS को निष्पादित कर सकता है — जिससे यह एक स्थायी, DOM-आधारित स्टोर किया गया XSS बन जाता है।.

नोट: DOM-आधारित XSS आमतौर पर innerHTML, document.write, या इवेंट हैंडलर्स के साथ HTML स्ट्रिंग बनाने जैसी APIs को शामिल करता है। 3.59.12 सुधार असुरक्षित क्लाइंट-साइड उपयोग को संबोधित करता है और/या इंजेक्शन से पहले मानों को साफ करता है।.

यथार्थवादी हमले के परिदृश्य

1. योगदानकर्ताओं के साथ छोटा संपादकीय साइट
   एक योगदानकर्ता चित्र अपलोड करता है और एक तैयार की गई गैलरी कैप्शन सेट करता है। एक संपादक या प्रशासक बाद में गैलरी को देखता है या पूर्वावलोकन करता है; इंजेक्ट किया गया स्क्रिप्ट निष्पादित होता है और सत्र कुकीज़ चुरा लेता है या परिवर्तनों के लिए प्रशासक के सत्र का उपयोग करता है।.
2. सदस्यता या सामुदायिक साइट
   हमलावर लॉग-इन सदस्यों को लक्षित करने वाले स्थायी स्क्रिप्ट के साथ गैलरी बनाते हैं। जब सदस्य गैलरी देखते हैं, तो ब्राउज़र ऐसे पेलोड निष्पादित करते हैं जो क्रेडेंशियल चुराते हैं या अवांछित क्रियाएँ करते हैं।.
3. सार्वजनिक प्रस्तुतियाँ
   बाहरी प्रस्तुतियों को स्वीकार करने वाली साइटें आकर्षक लक्ष्य होती हैं: योगदानकर्ता मीडिया अपलोड करते हैं और मेटाडेटा तैयार करते हैं ताकि पेलोड स्थायी हो जाए जो आगंतुकों के लाइटबॉक्स खोलने पर सक्रिय हो।.

“केवल योगदानकर्ता” की आवश्यकता होने पर, यह उच्च जोखिम बन जाता है जब विशेषाधिकार प्राप्त उपयोगकर्ता सामग्री के साथ इंटरैक्ट करते हैं - सहयोगात्मक प्लेटफार्मों पर एक सामान्य पैटर्न।.

साइट मालिकों के लिए तात्कालिक कार्रवाई (प्राथमिकता के अनुसार)

1. NextGEN गैलरी को संस्करण 3.59.12 (या बाद में) में अपडेट करें - यदि आप कर सकते हैं तो अभी करें। यह सबसे महत्वपूर्ण कदम है।.
2. यदि आप तुरंत अपडेट नहीं कर सकते:
   • अस्थायी रूप से NextGEN गैलरी को निष्क्रिय करें।.
   • या यदि प्लगइन वह कॉन्फ़िगरेशन प्रदान करता है तो ThickBox सुविधाओं को अक्षम करें।.
3. योगदानकर्ता क्षमताओं को सीमित करें:
   • पैच होने तक योगदानकर्ताओं को फ़ाइलें अपलोड करने से रोकें।.
   • यह सीमित करें कि कौन गैलरी बना या संपादित कर सकता है।.
   • अविश्वसनीय उपयोगकर्ताओं से योगदानकर्ता भूमिका अस्थायी रूप से वापस लें।.
4. जहां संभव हो, अपने वेब एप्लिकेशन फ़ायरवॉल (WAF) के माध्यम से आभासी पैच लागू करें - नीचे WAF मार्गदर्शन देखें।.
5. अपने डेटाबेस को इंजेक्ट किए गए स्क्रिप्ट के लिए स्कैन करें और किसी भी दुर्भावनापूर्ण प्रविष्टियों को साफ करें (पता लगाने के अनुभाग को देखें)।.
6. यदि आप पुष्टि की गई शोषण पाते हैं तो उच्च-विशेषाधिकार वाले खातों के लिए पासवर्ड रीसेट करने के लिए मजबूर करें।.

WAF इसे तुरंत कैसे कम कर सकता है

एक WAF (वेब एप्लिकेशन फ़ायरवॉल) आपको अपडेट करते समय आभासी पैचिंग प्रदान कर सकता है। सामान्य, अच्छी तरह से परीक्षण किए गए नियमों का उपयोग करें और ब्लॉक करने से पहले निगरानी मोड में परीक्षण करें ताकि झूठे सकारात्मक से बचा जा सके।.

सुझाए गए नियम व्यवहार (सैद्धांतिक)

• Block POST/PUT requests to gallery save endpoints that contain suspicious content patterns such as
  मेरा ऑर्डर देखें

  0

  उप-योग

  चेकआउट पर कर और शिपिंग की गणना की गई

  चेकआउट