प्लगइन का नाम	वर्डप्रेस सर्वेक्षण प्लगइन
कमजोरियों का प्रकार	क्रॉस-साइट स्क्रिप्टिंग
CVE संख्या	CVE-2026-1247
तात्कालिकता	कम
CVE प्रकाशन तिथि	2026-03-23
स्रोत URL	CVE-2026-1247

प्रमाणित प्रशासक संग्रहीत XSS “सर्वेक्षण” प्लगइन में (<=1.1) — वर्डप्रेस साइटों के लिए जोखिम, पहचान, और व्यावहारिक शमन

लेखक: हांगकांग सुरक्षा विशेषज्ञ
तारीख: 2026-03-23

TL;DR — क्या हुआ?

वर्डप्रेस प्लगइन “सर्वेक्षण” के लिए संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) की एक भेद्यता का खुलासा किया गया था, जो संस्करण 1.1 तक और उसमें शामिल है (CVE‑2026‑1247)। एक प्रमाणित प्रशासक प्लगइन सेटिंग्स में दुर्भावनापूर्ण स्क्रिप्ट पेलोड्स को संग्रहीत कर सकता है जो बाद में विशेषाधिकार प्राप्त उपयोगकर्ताओं या आगंतुकों के संदर्भ में निष्पादित हो सकते हैं। CVSS स्कोर 5.9 है और इस मुद्दे को संग्रहीत XSS (OWASP A3: इंजेक्शन) के रूप में वर्गीकृत किया गया है। खुलासे के समय कोई आधिकारिक विक्रेता पैच उपलब्ध नहीं था।.

यह सलाह खतरे को स्पष्ट करती है, वास्तविक हमले के परिदृश्यों को रेखांकित करती है, पहचान विधियों को प्रदर्शित करती है, और कदम-दर-कदम शमन प्रदान करती है जिसे आप तुरंत लागू कर सकते हैं — जिसमें सामान्य वेब एप्लिकेशन फ़ायरवॉल (WAF) दृष्टिकोण का उपयोग करके आभासी पैचिंग शामिल है।.

यह क्यों महत्वपूर्ण है (यहां तक कि “मध्यम” गंभीरता के साथ)

CVSS 5.9 रेटिंग वास्तविक परिचालन जोखिम को कम कर सकती है। प्लगइन सेटिंग्स में संग्रहीत XSS विशेष रूप से दो कारणों से जोखिम भरा है:

• स्थिरता: पेलोड डेटाबेस में रहता है और हटाए जाने या साफ किए जाने तक बार-बार सक्रिय हो सकता है।.
• प्रशासनिक संदर्भ: सेटिंग पृष्ठ अक्सर प्रशासकों द्वारा देखे जाते हैं; एक प्रशासक संदर्भ में चलने वाला पेलोड सत्र चोरी, प्रशासक क्रियाओं का CSRF, या बैकडोर स्थापित करने की अनुमति दे सकता है।.

शोषण के लिए या तो पेलोड डालने के लिए या इसे सक्रिय करने के लिए सामाजिक-इंजीनियरिंग की आवश्यकता होती है, लेकिन मानव कारक (फिशिंग, गलत कॉपी/पेस्ट, समझौता किए गए निम्न-विशेषाधिकार खाते जो बढ़ते हैं) सफल अभियानों को व्यावहारिक बनाते हैं। क्योंकि पेलोड उच्च विशेषाधिकार के साथ निष्पादित हो सकता है, इसके बाद का प्रभाव गंभीर हो सकता है।.

त्वरित सिफारिश सारांश (पहले क्या करना है)

1. यदि आप सर्वेक्षण प्लगइन ≤ 1.1 का उपयोग करते हैं, तो इसे तुरंत हटा दें या निष्क्रिय करें जब तक कि आपके पास प्लगइन लेखक से एक सत्यापित पैच संस्करण न हो।.
2. यदि आप तुरंत प्लगइन हटा नहीं सकते, तो प्लगइन सेटिंग्स पृष्ठों को लक्षित करने वाले पेलोड को अवरुद्ध करने और संग्रहीत मानों को साफ करने के लिए WAF के साथ आभासी पैचिंग लागू करें।.
3. अप्रत्याशित मार्कअप या स्क्रिप्ट टैग के लिए प्रशासक सेटिंग्स और वर्डप्रेस विकल्प तालिका की जांच करें; परिवर्तनों से पहले अपने डेटाबेस का बैकअप लें।.
4. प्रशासक पहुंच को मजबूत करें: मजबूत पासवर्ड, दो-कारक प्रमाणीकरण (2FA), प्रशासक खातों की संख्या को कम करें, और उपयोगकर्ता भूमिकाओं की समीक्षा करें।.
5. यदि आपको समझौता का संदेह है तो प्रशासक सत्र, API कुंजी और क्रेडेंशियल्स को घुमाएं।.
6. लॉग की निगरानी करें, फ़ाइल-सम्पत्ति जांच सक्षम करें, और एक पूर्ण मैलवेयर स्कैन चलाएं।.

तकनीकी विवरण — प्लगइन सेटिंग्स में संग्रहीत XSS क्या है?

स्टोर किया गया XSS तब होता है जब उपयोगकर्ता द्वारा प्रदान किया गया डेटा सर्वर पर संग्रहीत होता है (उदाहरण के लिए, 11. संदिग्ध सामग्री के साथ।, पोस्टमेटा, या प्लगइन कस्टम तालिकाएँ) और बाद में उचित एस्केपिंग या एन्कोडिंग के बिना HTML पृष्ठों में प्रस्तुत की गईं। इस मामले में, कमजोर प्लगइन अपनी सेटिंग्स पृष्ठ के माध्यम से कॉन्फ़िगरेशन मान स्वीकार करता है और उन्हें संग्रहीत करता है। जब उन मानों को एक प्रशासक पृष्ठ या फ्रंटेंड में प्रस्तुत किया जाता है, तो उन्हें कच्चे HTML के रूप में डाला जाता है - अंतर्निहित की अनुमति देता है