TL;DR — एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता (CVE-2026-3604) “WP SEO संरचित डेटा स्कीमा” प्लगइन के संस्करण 2.8.1 तक और शामिल में प्रभावित करती है। एक प्रमाणित उपयोगकर्ता जिसके पास योगदानकर्ता विशेषाधिकार हैं, एक दुर्भावनापूर्ण स्क्रिप्ट संग्रहीत कर सकता है जो तब निष्पादित होती है जब एक उच्च विशेषाधिकार प्राप्त उपयोगकर्ता या अन्य आगंतुक प्रभावित पृष्ठ को देखता है। इस मुद्दे की CVSS-समान गंभीरता 6.5 है और सफल शोषण के लिए उपयोगकर्ता इंटरैक्शन की आवश्यकता होती है। प्रकटीकरण के समय कोई आधिकारिक पैच उपलब्ध नहीं था — यदि आप इस प्लगइन को चलाते हैं तो तुरंत शमन लागू करें।.

यह क्यों महत्वपूर्ण है (संक्षिप्त)

संग्रहीत XSS विशेष रूप से खतरनाक है क्योंकि दुर्भावनापूर्ण पेलोड स्थायी होता है (डेटाबेस, विकल्प, पोस्टमेटा) और किसी भी व्यक्ति के ब्राउज़र में निष्पादित होता है जो संक्रमित सामग्री को देखता है। योगदानकर्ता आमतौर पर सामग्री बना सकते हैं लेकिन कच्चा HTML डालने के लिए विश्वसनीय नहीं होते हैं। यदि वे उपयोगकर्ता स्क्रिप्ट संग्रहीत कर सकते हैं जो बाद में प्रशासकों या संपादकों के लिए प्रस्तुत होती हैं, तो साइट को निम्न-विशेषाधिकार समझौते से पूर्ण साइट अधिग्रहण में बढ़ाया जा सकता है: सत्र हाइजैकिंग, बागी प्रशासक निर्माण, कॉन्फ़िगरेशन संशोधन, बैकडोर स्थापना, SEO स्पैम, या दुर्भावनापूर्ण सामग्री का वितरण।.

सुरक्षा कमजोरी का स्नैपशॉट

• कमजोरियों: प्रमाणित (योगदानकर्ता+) संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS)
• प्रभावित सॉफ़्टवेयर: WP SEO संरचित डेटा स्कीमा प्लगइन
• प्रभावित संस्करण: ≤ 2.8.1
• CVE: CVE-2026-3604
• प्रकाशित: 11 मई, 2026
• आवश्यक विशेषाधिकार: योगदानकर्ता (या उच्च)
• CVSS-जैसी गंभीरता: 6.5 (मध्यम/मध्यम)
• शोषण: योगदानकर्ता खाते की उपस्थिति और विशेषाधिकार प्राप्त उपयोगकर्ता इंटरैक्शन की आवश्यकता होती है (जैसे, प्रशासन या फ्रंटेंड में संग्रहीत पेलोड को देखना या इंटरैक्ट करना)
• प्रकटीकरण पर पैच स्थिति: कोई आधिकारिक पैच उपलब्ध नहीं (साइट मालिकों को शमन लागू करना चाहिए)

इस संदर्भ में संग्रहीत XSS कैसे काम करता है

संग्रहीत XSS तब होता है जब उपयोगकर्ता द्वारा प्रदान किया गया इनपुट सुरक्षित किया जाता है और बाद में उचित स्वच्छता या एस्केपिंग के बिना आउटपुट किया जाता है। इस प्लगइन में, कुछ फ़ील्ड जो योगदानकर्ता भर सकते हैं (संरचित डेटा स्निपेट्स, मेटा फ़ील्ड, या कस्टम स्कीमा प्रविष्टियाँ) पर्याप्त रूप से फ़िल्टर नहीं की जाती हैं। एक योगदानकर्ता खाते वाला हमलावर HTML/JavaScript पेलोड डाल सकता है जो डेटाबेस में संग्रहीत होता है। जब एक प्रशासक/संपादक या एक आगंतुक उस पृष्ठ को लोड करता है या प्लगइन के प्रशासन दृश्य को लोड करता है जो उस सामग्री को आउटपुट करता है, तो दुर्भावनापूर्ण स्क्रिप्ट उपयोगकर्ता के ब्राउज़र के संदर्भ में चलती है।.

क्योंकि स्क्रिप्ट पीड़ित के ब्राउज़र विशेषाधिकारों के साथ चलती है, इसके परिणामों में शामिल हैं:

• प्रमाणीकरण कुकीज़ या सत्र टोकन चुराना (खाते के अधिग्रहण की ओर ले जाना)
• अनुरोधों को धोखा देकर प्रशासनिक क्रियाएँ करना
• स्थायी बैकडोर स्थापित करना, बागी प्रशासक खाते बनाना, या प्लगइन्स/थीम्स को संशोधित करना
• SEO सामग्री को बदलना या स्पैम लिंक डालना ताकि प्रतिष्ठा को नुकसान पहुंचे
• दुर्भावनापूर्ण JavaScript प्रदान करना जो आगंतुकों के लिए ड्राइव-बाय मैलवेयर को पुनर्निर्देशित या लोड करता है

हालांकि हमलावर के पास प्रारंभ में केवल एक योगदानकर्ता खाता हो सकता है, संग्रहीत XSS उच्च-विशिष्ट उपयोगकर्ताओं के साथ लोड का इंटरैक्शन करते ही पूर्ण समझौते में बढ़ सकता है।.

किसे जोखिम है?

• WP SEO संरचित डेटा स्कीमा प्लगइन स्थापित और सक्षम साइटें, जो संस्करण 2.8.1 या उससे पुराना चला रही हैं
• साइटें जो बाहरी उपयोगकर्ताओं को पंजीकरण करने या अन्यथा योगदानकर्ता (या उच्च) भूमिका प्राप्त करने की अनुमति देती हैं
• बहु-लेखक ब्लॉग जहां योगदानकर्ता संरचित डेटा प्रदान करते हैं या प्लगइन-प्रबंधित फ़ील्ड भरते हैं जो बाद में प्रशासनिक स्क्रीन या फ्रंट-एंड टेम्पलेट में प्रदर्शित होते हैं
• साइटें जहां प्रशासक या संपादक अक्सर प्रशासनिक इंटरफ़ेस में सीधे सामग्री की समीक्षा करते हैं बिना अतिरिक्त स्वच्छता के

यदि आप प्लगइन का उपयोग नहीं करते हैं या यह सक्रिय नहीं है, तो आप प्रभावित नहीं हैं। यदि आप प्लगइन को होस्ट करते हैं लेकिन इसे अपडेट या हटा नहीं किया है, तो इसे उच्च प्राथमिकता के मूल्यांकन के रूप में मानें।.

वास्तविक दुनिया के शोषण परिदृश्य

1. योगदानकर्ता → सामाजिक इंजीनियरिंग → प्रशासन

   एक योगदानकर्ता खाते वाला हमलावर एक तैयार स्कीमा स्निपेट या मेटा फ़ील्ड को बचाता है जिसमें एक छिपा हुआ स्क्रिप्ट होता है। एक संपादक/प्रशासक प्लगइन की सेटिंग्स पृष्ठ खोलता है या प्रशासनिक पूर्वावलोकन में पोस्ट को देखता है; स्क्रिप्ट निष्पादित होती है और प्रशासनिक के प्रमाणित कुकीज़ का उपयोग करके केवल प्रशासनिक AJAX एंडपॉइंट्स को कॉल करती है (प्रशासनिक खाते बनाना, प्लगइन्स स्थापित करना, साइट ईमेल बदलना, आदि)।.

2. योगदानकर्ता → फ्रंट-एंड निष्पादन → आगंतुक

   यदि प्लगइन संरचित डेटा या स्कीमा मार्कअप को फ्रंट-एंड में बिना एस्केप किए आउटपुट करता है, तो आगंतुक का ब्राउज़र लोड को निष्पादित कर सकता है। स्क्रिप्ट तीसरे पक्ष के दुर्भावनापूर्ण कोड को लोड कर सकती है या आगंतुकों और साइट की प्रतिष्ठा को नुकसान पहुंचाने के लिए ब्राउज़र की खामियों का लाभ उठा सकती है।.

3. संग्रहीत लोड + अनुसूचित कार्य

   लोड क्रॉन या रखरखाव पृष्ठों पर विशेषाधिकार प्राप्त उपयोगकर्ताओं द्वारा देखे जाने पर क्रियाएँ ट्रिगर कर सकता है, स्थायीता को स्वचालित करता है और सफाई को अधिक कठिन बनाता है।.

तुरंत उठाने के लिए कदम (24 घंटे के भीतर)

1. सूची बनाएं और मूल्यांकन करें
   • जांचें कि क्या WP SEO संरचित डेटा स्कीमा प्लगइन स्थापित है और इसका संस्करण निर्धारित करें।.
   • WP-CLI: wp प्लगइन प्राप्त करें wp-seo-structured-data-schema --field=version
   • वर्डप्रेस प्रशासन: प्लगइन्स → स्थापित प्लगइन्स → संस्करण जांचें
   • यदि प्लगइन सक्रिय है और संस्करण ≤ 2.8.1 है, तो तुरंत निवारक कार्रवाई करें।.
2. यदि आप पैच नहीं कर सकते (कोई आधिकारिक पैच उपलब्ध नहीं)
   • यदि संभव हो तो तुरंत प्लगइन को निष्क्रिय करें। निष्क्रियता सबसे सुरक्षित तात्कालिक उपाय है।.
   • WP-CLI: wp प्लगइन निष्क्रिय करें wp-seo-structured-data-schema
   • यदि व्यावसायिक कारणों से निष्क्रियता संभव नहीं है, तो जोखिम को सीमित करें:
     • आईपी द्वारा प्लगइन प्रशासन पृष्ठों तक पहुंच को प्रतिबंधित करें (होस्टिंग नियंत्रण या सर्वर कॉन्फ़िगरेशन का उपयोग करें)।.
     • योगदानकर्ताओं के लिए प्लगइन द्वारा प्रबंधित फ़ील्ड बनाने या संपादित करने की क्षमता को अस्थायी रूप से निष्क्रिय करें।.
     • सामग्री लाइव होने से पहले संपादकों द्वारा मैनुअल समीक्षा की आवश्यकता करें।.
3. उपयोगकर्ता अनुमतियों को लॉक करें
   • किसी भी अविश्वसनीय योगदानकर्ता खातों को हटा दें या पदावनत करें।.
   • प्रशासकों और संपादकों के लिए मजबूत पासवर्ड लागू करें और क्रेडेंशियल्स को घुमाएं।.
   • यदि नई उपयोगकर्ता पंजीकरण की आवश्यकता नहीं है तो इसे निष्क्रिय करें।.
4. निरीक्षण करें और साफ करें
   • सामग्री और प्लगइन-संबंधित भंडारण में संदिग्ध स्क्रिप्ट और इंजेक्टेड टैग के लिए खोजें (डिटेक्शन अनुभाग देखें)।.
   • खोजे गए दुर्भावनापूर्ण स्क्रिप्ट, बागी उपयोगकर्ताओं, या इंजेक्टेड प्रशासन खातों को हटा दें।.
   • यदि फ़ाइल की अखंडता प्रभावित होती है, तो एक साफ बैकअप से पुनर्स्थापित करें।.
5. लॉग और ट्रैफ़िक की निगरानी करें
   • संदिग्ध POST अनुरोधों, असामान्य प्रशासन पृष्ठ दृश्य, या गतिविधि में वृद्धि के लिए सर्वर और अनुप्रयोग लॉग की जांच करें।.
   • ज्ञात होस्टों के लिए कनेक्शनों के लिए आउटगोइंग ट्रैफ़िक की निगरानी करें जो मैलवेयर द्वारा बीकनिंग का संकेत दे सकते हैं।.
6. WAF/वर्चुअल पैचिंग लागू करें (यदि उपलब्ध हो)

   प्रभावित प्लगइन एंडपॉइंट्स में सामान्य XSS पेलोड को ब्लॉक करने के लिए वेब एप्लिकेशन फ़ायरवॉल नियम लागू करें। स्कीमा-संबंधित एंडपॉइंट्स में सबमिशन में स्पष्ट स्क्रिप्ट टैग और संदिग्ध विशेषताओं को ब्लॉक करें और योगदानकर्ता एंडपॉइंट्स से दुर्भावनापूर्ण POSTs की निगरानी/ब्लॉक करें।.

7. सुधार की योजना बनाएं

   सुरक्षा रिलीज के लिए आधिकारिक प्लगइन चैनलों पर नज़र रखें। जब एक पैच प्रकाशित होता है, तो इसे तुरंत स्टेजिंग पर लागू करें, परीक्षण करें, और फिर उत्पादन में पुश करें।.

डिटेक्शन: संभावित शोषण कलाकृतियों को कैसे खोजें

मान लें कि हमलावर स्क्रिप्ट को पोस्ट सामग्री, पोस्ट मेटा, विकल्पों, या कस्टम तालिकाओं में संग्रहीत करता है। संदिग्ध कलाकृतियों को खोजने के लिए इन दृष्टिकोणों का उपयोग करें।.

सामग्री में स्क्रिप्ट टैग या ऑन-इवेंट विशेषताओं के लिए खोजें

WP-CLI उदाहरण:

wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%#is', '', $content);

नोट: यह एक रक्षात्मक अस्थायी उपाय है। प्लगइन कोड में उचित सफाई सही समाधान है।.