सारांश

• भेद्यता: प्रमाणित (प्रशासक) संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS)।.
• प्रभावित सॉफ़्टवेयर: AMP संवर्धक — आधिकारिक AMP प्लगइन के लिए संगतता परत, संस्करण ≤1.0.49।.
• CVE: CVE-2026-2027
• गंभीरता: मध्यम (रखरखावकर्ता रेटिंग CVSS 5.9)। वास्तविक दुनिया में प्रभाव हमलावर के प्रशासनिक खाते तक पहुंच पर निर्भर करता है।.
• शोषण पूर्वापेक्षाएँ: साइट पर प्रशासक विशेषाधिकार (या एक प्रशासक को दुर्भावनापूर्ण CSS को सहेजने के लिए मनाना)।.
• तत्काल शमन: प्लगइन को निष्क्रिय या हटा दें; डेटाबेस में संग्रहीत सेटिंग का निरीक्षण और स्वच्छ करें; प्रशासक खातों को प्रतिबंधित करें; पूर्ण सफाई की तैयारी करते समय दुर्भावनापूर्ण CSS पेलोड को ब्लॉक करने के लिए आभासी पैच / WAF नियम लागू करें।.
• पुनर्प्राप्ति: यदि समझौता होने का संदेह है, तो साइट को अलग करें, क्रेडेंशियल्स को बदलें, इंजेक्टेड सामग्री को स्कैन और हटा दें, और यदि आवश्यक हो तो एक स्वच्छ बैकअप से पुनर्स्थापित करें।.

यह संग्रहीत XSS क्यों महत्वपूर्ण है — भले ही केवल प्रशासक की आवश्यकताएँ हों

हालांकि शोषण के लिए एक प्रशासक को पेलोड सहेजने की आवश्यकता होती है, हमले की सतह अभी भी महत्वपूर्ण है:

• चुराए गए या फ़िश किए गए प्रशासक क्रेडेंशियल्स संग्रहीत XSS के माध्यम से एक स्थायी स्थिति की अनुमति देते हैं।.
• दुर्भावनापूर्ण ठेकेदार या अंदरूनी लोग जिनके पास प्रशासक पहुंच है, जानबूझकर पेलोड इंजेक्ट कर सकते हैं।.
• सामाजिक इंजीनियरिंग एक प्रशासक को छिपे हुए पेलोड वाले प्रतीत होने वाले वैध CSS को पेस्ट करने के लिए धोखा दे सकती है।.

संभावित परिणामों में सत्र चोरी, साइट-व्यापी रीडायरेक्ट, SEO विषाक्तता, बैकडोर स्क्रिप्ट इंजेक्शन, और प्रतिष्ठा को नुकसान शामिल हैं। चूंकि पेलोड एक कॉन्फ़िगरेशन में संग्रहीत होता है और साइट-व्यापी परोसा जाता है, एक सफल इंजेक्शन हर आगंतुक और प्रशासक को प्रभावित कर सकता है जो प्रभावित पृष्ठों को लोड करता है।.

समस्या कैसे काम करती है (तकनीकी अवलोकन)

1. The plugin provides an “AMP Custom CSS” setting where administrators can enter CSS for AMP pages.
2. सेटिंग डेटाबेस में संग्रहीत होती है और बाद में AMP आउटपुट के लिए पृष्ठ मार्कअप में दर्शाई जाती है।.
3. अपर्याप्त सफाई इनपुट की अनुमति देती है जिसे ब्राउज़र द्वारा निष्पादन योग्य या CSS संदर्भ से बाहर निकलने योग्य के रूप में व्याख्यायित किया जा सकता है (उदाहरण के लिए, ऐसे निर्माण जो एक शैली ब्लॉक को बंद करते हैं या HTML पेश करते हैं)।.
4. क्योंकि सामग्री संग्रहीत होती है और आगंतुकों को आउटपुट की जाती है, XSS स्थायी (संग्रहीत) है और अगले पृष्ठ दृश्य पर निष्पादित होती है।.

नोट: आधुनिक ब्राउज़र और विरासती खामियां अप्रत्याशित अनुक्रमों को निष्पादन योग्य क्रियाओं में बदल सकती हैं जब उपयोगकर्ता-नियंत्रित डेटा को सुरक्षित एन्कोडिंग के बिना आउटपुट किया जाता है।.

वास्तविक शोषण परिदृश्य

• चुराए गए व्यवस्थापक क्रेडेंशियल्स: हमलावर लॉग इन करता है, AMP कस्टम CSS में दुर्भावनापूर्ण सामग्री चिपकाता है, और पेलोड आगंतुकों को परोसा जाता है।.
• Social engineering: admin is convinced to paste “recommended CSS” from an untrusted source that contains obfuscated payloads.
• दुर्भावनापूर्ण अंदरूनी: एक कर्मचारी या ठेकेदार जिसे व्यवस्थापक पहुंच है, डेटा चुराने या साइट को बाधित करने के लिए एक पेलोड संग्रहीत करता है।.

संकेत कि आप पहले से ही प्रभावित हो सकते हैं

• पृष्ठ स्रोत या शैलियों के अंदर अप्रत्याशित इनलाइन जावास्क्रिप्ट या HTML टुकड़े।.
• साइट पृष्ठ बाहरी डोमेन पर पुनर्निर्देशित हो रहे हैं।.
• असामान्य डैशबोर्ड व्यवहार या अप्रत्याशित व्यवस्थापक सूचनाएं।.
• नए या अज्ञात व्यवस्थापक उपयोगकर्ता, संपादित पोस्ट/पृष्ठ जो आपने नहीं बनाए, संदिग्ध क्रोन कार्य, या संशोधित कोर/थीम/प्लगइन फ़ाइलें।.
• खोज इंजन चेतावनियाँ, ब्लैकलिस्टिंग, या असामान्य ट्रैफ़िक पैटर्न।.

यदि आप प्रभावित संस्करण का प्लगइन उपयोग करते हैं और इन संकेतों को देखते हैं, तो संभावित समझौते का अनुमान लगाएं और तुरंत containment कदम उठाएं।.

साइट मालिकों के लिए तत्काल कदम (क्रमबद्ध)

1. साइट को रखरखाव मोड में डालें या एक्सपोजर को कम करें: जांच करते समय अस्थायी रूप से सार्वजनिक पहुंच को प्रतिबंधित करें।.
2. AMP एन्हांसर प्लगइन को निष्क्रिय करें: सबसे सरल तत्काल समाधान यह है कि प्लगइन को निष्क्रिय या हटा दें ताकि यह संग्रहीत सामग्री को परोसना बंद कर दे।.
3. AMP कस्टम CSS सेटिंग की जांच करें और साफ करें:
   • उस प्लगइन विकल्प की जांच करें जहां कस्टम CSS संग्रहीत है (सामान्य कुंजी में शामिल हो सकते हैं amp_custom_css या प्लगइन-विशिष्ट विकल्प नामों)।.
   • यदि आपको अप्रत्याशित सामग्री मिलती है, तो इसे हटा दें या फ़ील्ड को खाली स्ट्रिंग पर सेट करें।.
   • उदाहरण WP-CLI: wp विकल्प प्राप्त करें amp_custom_css और साफ करने के लिए: wp विकल्प अपडेट करें amp_custom_css ''
   • SQL निरीक्षण उदाहरण (हमेशा पहले बैकअप लें):

   SELECT option_name, option_value FROM wp_options WHERE option_name LIKE '%amp%' OR option_value LIKE '%javascript:%' OR option_value LIKE '%

4. Rotate credentials and lock admin access:
   • Reset passwords for all administrator accounts and enforce strong, unique passwords.
   • Require two-factor authentication for all admins where possible.
   • Remove or downgrade unknown admin users.
5. Review recent admin activity: check audit logs (if available) to identify who changed settings; enable logging if absent.
6. Scan the site for other indicators: perform a full-site malware scan and inspect posts, options, theme files, and uploads for injected code.
7. Review backups: if you detect a compromise and cannot clean confidently, restore from a known-good backup taken prior to the injection.
8. Apply virtual patching / WAF rules as an interim measure: block suspicious payloads from being saved and prevent already-stored payloads from reaching clients (details below).
9. Monitor and re-scan regularly after cleanup to detect reinfection or repeated malicious changes.