त्वरित तथ्य

• कमजोरियां: अनधिकृत स्टोर क्रॉस-साइट स्क्रिप्टिंग (XSS)
• प्रभावित सॉफ़्टवेयर: मास्टर ऐडऑन्स के लिए एलिमेंटोर (प्लगइन)
• प्रभावित संस्करण: ≤ 2.0.6.1
• ठीक किया गया संस्करण: 2.0.6.2 (संभव हो तो तुरंत अपडेट करें)
• CVE: CVE-2024-5542
• CVSS (v3.1): 7.2 (उच्च / मध्यम वातावरण के आधार पर)
• आवश्यक विशेषाधिकार: कोई नहीं (अनधिकृत)
• प्रभाव: विजिटर्स के संदर्भ में स्क्रिप्ट निष्पादन (स्टोर XSS), कुकीज़/टोकन की संभावित चोरी, मजबूर क्रियाएँ, iFrame इंजेक्शन, या प्रशासनिक उपयोगकर्ताओं की ओर बढ़ना

संग्रहीत XSS क्या है और यह क्यों महत्वपूर्ण है

स्टोर क्रॉस-साइट स्क्रिप्टिंग (XSS) तब होती है जब एक एप्लिकेशन हमलावर द्वारा प्रदान की गई सामग्री को बनाए रखता है और बाद में इसे अन्य उपयोगकर्ताओं को पर्याप्त सफाई या एस्केपिंग के बिना प्रस्तुत करता है। जब भी कोई पृष्ठ उस सामग्री को प्रस्तुत करता है, तो बनाए रखी गई पेलोड्स निष्पादित होती हैं, जिससे स्टोर XSS अस्थायी (प्रतिबिंबित) रूपों की तुलना में अधिक खतरनाक हो जाती है।.

यह क्यों खतरनाक है:

• स्थिरता: पेलोड हर पृष्ठ लोड पर निष्पादित होते हैं जिसमें संग्रहीत सामग्री शामिल होती है।.
• व्यापक प्रदर्शन: मेनू और विजेट जैसे सामान्य घटक कई आगंतुकों को उजागर कर सकते हैं।.
• उच्च लक्ष्य: यदि प्रशासक लॉग इन करते समय एक संक्रमित पृष्ठ देखते हैं, तो पेलोड विशेषाधिकार प्राप्त कुकीज़ या टोकन तक पहुंच सकता है और हमले को बढ़ा सकता है।.
• डेटा चोरी और खाता अधिग्रहण: जावास्क्रिप्ट सत्र कुकीज़, प्रमाणीकरण टोकन को निकाल सकती है, या उपयोगकर्ता की ओर से क्रियाएँ कर सकती है।.
• SEO और प्रतिष्ठा को नुकसान: इंजेक्ट किया गया कोड स्पैम, रीडायरेक्ट, या मैलवेयर वितरित कर सकता है, जिससे रैंकिंग और उपयोगकर्ता विश्वास को नुकसान होता है।.

क्योंकि रिपोर्ट की गई समस्या अनधिकृत संग्रहीत XSS है, हमलावर को दुर्भावनापूर्ण सामग्री को स्थायी बनाने के लिए एक खाता रखने की आवश्यकता नहीं है - त्वरित सुधार आवश्यक बनाता है।.

मास्टर ऐडऑन्स नेविगेशन मेनू विजेट समस्या — तकनीकी सारांश

सार्वजनिक प्रकटीकरण और तकनीकी विश्लेषण के आधार पर भेद्यता का सारांश:

• प्लगइन एक नेविगेशन मेनू विजेट को उजागर करता है जो मेनू (लेबल, लिंक, सेटिंग्स) के लिए सामग्री स्वीकार करता है।.
• एक एंडपॉइंट जो विजेट/मेनू सेटिंग्स को संभालता है, ने अनधिकृत HTTP अनुरोधों को डेटा जमा करने की अनुमति दी जो प्लगइन द्वारा संग्रहीत किया गया, अनुपयुक्त या अपर्याप्त प्राधिकरण जांच के कारण।.
• प्रस्तुत डेटा (उदाहरण के लिए, एक मेनू आइटम लेबल) को फ्रंट-एंड में आउटपुट करते समय अपर्याप्त रूप से साफ/एस्केप किया गया, जिससे आगंतुकों के ब्राउज़रों में स्क्रिप्ट निष्पादन हुआ।.
• क्योंकि XSS संग्रहीत है, दुर्भावनापूर्ण पेलोड तब तक बना रहता है जब तक कि इसे हटा या अधिलेखित नहीं किया जाता।.

सामान्य कमजोर पैटर्न (सैद्धांतिक):

1. एक एंडपॉइंट एक POST/REST/AJAX पेलोड स्वीकार करता है जिसमें मेनू पाठ / विजेट सेटिंग्स होती हैं और इसे उपयोगकर्ता की क्षमताओं की पुष्टि किए बिना डेटाबेस में लिखता है।.
2. प्लगइन उन मानों को पृष्ठ मार्कअप में उचित एस्केपिंग या सफाई के बिना आउटपुट करता है।.
3. ब्राउज़र पृष्ठ को रेंडर करते समय इंजेक्ट की गई स्क्रिप्ट को निष्पादित करता है।.

प्लगइन लेखक ने संस्करण 2.0.6.2 में उचित प्राधिकरण जांच लागू करने और आउटपुट को साफ करने के लिए एक सुधार जारी किया। इस अपडेट को जल्द से जल्द लागू करें।.

कौन जोखिम में है और संभावित प्रभाव

जोखिम में:

• कोई भी वर्डप्रेस साइट जो मास्टर ऐडऑन के लिए एलिमेंटोर संस्करण ≤ 2.0.6.1 चला रही है।.
• कमजोर नेविगेशन मेनू विजेट सक्रिय या कोई अन्य विजेट जो समान कमजोर सहेजने/रेंडर पथ का पुन: उपयोग करता है।.
• सार्वजनिक आगंतुकों वाली साइटें - भेद्यता फ्रंट-एंड रेंडरिंग को लक्षित करती है और सभी आगंतुकों और लॉग इन उपयोगकर्ताओं को प्रभावित करती है।.
• साइटें जहां व्यवस्थापक, संपादक, या विशेषाधिकार प्राप्त उपयोगकर्ता प्रमाणीकृत होने पर फ्रंट-एंड पर जा सकते हैं।.

संभावित प्रभाव:

• वेबसाइट विज़िटर को रीडायरेक्ट, पॉपअप, या मजबूर डाउनलोड का अनुभव हो रहा है।.
• लॉगिन किए गए उपयोगकर्ताओं के लिए क्रेडेंशियल चोरी (कुकीज़, CSRF टोकन)।.
• यदि पेलोड कुकीज़ को लक्षित करता है या उनके सत्र के माध्यम से विशेषाधिकार प्राप्त क्रियाएँ करता है, तो विशेषाधिकार प्राप्त उपयोगकर्ताओं का खाता अधिग्रहण।.
• SEO स्पैम, इंजेक्टेड लिंक, या मैलवेयर वितरण।.
• हमलावर की अवसंरचना के साथ संचार करने वाले स्थायी जावास्क्रिप्ट बैकडोर।.
• ग्राहक विश्वास का नुकसान और यदि व्यक्तिगत डेटा निकाला जाता है तो संभावित नियामक जोखिम।.

समझौते के संकेत (IoCs) और अब क्या देखना है

संग्रहीत XSS पेलोड से सामान्यतः जुड़े निशानों की खोज करें। हमलावर अक्सर अस्पष्ट करते हैं, इसलिए केवल सटीक पैटर्न के बजाय असामान्यताओं की तलाश करें।.

तुरंत जांचने के लिए चीजें:

• रूपरेखा → मेनू में अप्रत्याशित मेनू आइटम या लेबल, या नेव मेनू विजेट में।.
• डेटाबेस प्रविष्टियाँ (wp_posts जिनका post_type = ‘nav_menu_item’ है) जिनमें टैग, इवेंट हैंडलर (onerror=, onclick=), या javascript: लिंक शामिल हैं।.
• फ्रंट-एंड पृष्ठ जो मेनू क्षेत्रों में इनलाइन टैग या इनलाइन इवेंट विशेषताएँ दिखाते हैं।.
• नेविगेशन तत्वों से उत्पन्न अचानक रीडायरेक्ट, पॉपअप, या बाहरी संसाधन लोड।.
• वेब रूट या प्लगइन निर्देशिकाओं में नए या संशोधित फ़ाइलें।.
• असामान्य प्रशासनिक लॉगिन या असफल लॉगिन प्रयासों में वृद्धि।.
• POST अनुरोध जो अप्रत्याशित IPs या मूल से मेनू सामग्री बनाते/संशोधित करते हैं।.

संदिग्ध पैटर्न के उदाहरण:

• मेनू आइटम शीर्षकों में HTML टुकड़े जैसे <script>, <img src="x" onerror="…">, <iframe> or data URLs.
• प्लगइन एंडपॉइंट्स पर API/REST कॉल जो प्रमाणीकृत सत्रों या मान्य नॉनस के बिना निर्माण/अपडेट क्रियाएँ कर रहे हैं।.
• WAF या सर्वर लॉग जो लंबे या बाइनरी-जैसे पेलोड के साथ विजेट या मेनू एंडपॉइंट्स पर POST दिखाते हैं।.

पहचान और जांच (क्वेरी, कमांड, लॉग)

इंजेक्टेड सामग्री को खोजने के लिए व्यावहारिक प्रश्न और आदेश। इन्हें एक सुरक्षित वातावरण में चलाएँ और डेटा को संशोधित करने से पहले हमेशा बैकअप लें।.

1) नेव मेनू आइटम में स्क्रिप्ट टैग के लिए त्वरित डेटाबेस खोज (SQL)

SELECT ID, post_title, post_content, post_excerpt;

2) “javascript:” या इवेंट हैंडलर्स वाले मेनू आइटम खोजें

SELECT ID, post_title, post_excerpt;

3) संदिग्ध स्ट्रिंग्स के लिए WP‑CLI खोज

wp db query "SELECT ID, post_title FROM wp_posts WHERE post_type = 'nav_menu_item' AND (post_title LIKE '%<script%' OR post_title LIKE '%onerror=%');"

4) संदिग्ध संशोधनों के लिए थीम और प्लगइन फ़ाइलों की खोज (सर्वर पर)

# पिछले 7 दिनों में संशोधित फ़ाइलें खोजें

5) उन एंडपॉइंट्स के लिए POSTs के लिए वेब सर्वर एक्सेस लॉग की जांच करें जो विजेट या मेनू को संशोधित करते हैं

grep "POST .*admin-ajax.php" /var/log/nginx/access.log | tail -n 200

यदि लॉगिंग उपलब्ध है तो अनुरोध बॉडी की जांच करें। WAF लॉग विशेष रूप से अवरुद्ध या संदिग्ध पेलोड की पहचान करने के लिए उपयोगी होते हैं।.

6) ब्राउज़र निरीक्षण

प्रभावित पृष्ठ खोलें और नेविगेशन मेनू HTML की जांच करें। उन स्थानों में inline onerror/onload विशेषताओं या टैग की तलाश करें जो केवल पाठ या लिंक होना चाहिए। अज्ञात डोमेन के लिए त्रुटियों या आउटबाउंड अनुरोधों की जांच करने के लिए डेवलपर कंसोल का उपयोग करें।.

7) फ़ाइल अखंडता जांच

वर्तमान फ़ाइलों की तुलना ज्ञात-भले बैकअप या रिपॉजिटरी कॉपियों से करें ताकि अनधिकृत परिवर्तनों का पता लगाया जा सके।.

तात्कालिक निवारण — चरण-दर-चरण चेकलिस्ट

यदि आपकी साइट Master Addons ≤ 2.0.6.1 चलाती है, तो इन कार्यों को प्राथमिकता दें।.

1. प्लगइन अपडेट करें (प्राथमिक रक्षा)

   Master Addons को 2.0.6.2 या बाद में जल्द से जल्द अपग्रेड करें। यह अंतिम समाधान है।.

2. यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो प्लगइन या कमजोर विजेट को निष्क्रिय करें

   मास्टर ऐडऑन प्लगइन को अस्थायी रूप से निष्क्रिय करें। यदि निष्क्रिय करना संभव नहीं है, तो पृष्ठों और टेम्पलेट्स से नेविगेशन मेनू विजेट हटा दें।.

3. लक्षित अनुरोध फ़िल्टरिंग और दर सीमाएँ लागू करें

   POST या REST अनुरोधों को अवरुद्ध करें जो मान्य नॉनसेस या क्षमता जांच के बिना मेनू आइटम बनाने/संशोधित करने का प्रयास कर रहे हैं। उन अनुरोधों को अवरुद्ध करें जिनमें इनलाइन स्क्रिप्ट टैग या संदिग्ध इवेंट हैंडलर होते हैं जो सामान्य पाठ के लिए निर्धारित फ़ील्ड में होते हैं। बार-बार प्रयास करने वाले IPs को दर सीमित करें या अवरुद्ध करें।.

4. इंजेक्टेड सामग्री की खोज करें और उसे हटा दें

   संदिग्ध nav_menu_item प्रविष्टियों को खोजने और उन्हें हटाने या साफ़ करने के लिए उपरोक्त SQL क्वेरी का उपयोग करें (पहले बैकअप लें)। दुर्भावनापूर्ण मेनू शीर्षकों को सुरक्षित सामग्री से बदलें। यदि कई आइटम प्रभावित हैं, तो इंजेक्शन तिथि से पहले एक साफ़ बैकअप से पुनर्स्थापित करने पर विचार करें।.

5. क्रेडेंशियल और रहस्यों को घुमाएँ

   व्यवस्थापक और प्रभावित उपयोगकर्ताओं के पासवर्ड रीसेट करें। उन API कुंजियों और टोकनों को घुमाएँ जो उजागर हो सकते हैं।.

6. स्थिरता और बैकडोर के लिए स्कैन करें

   प्लगइन्स, थीम, अपलोड, mu-plugins, और डेटाबेस का पूर्ण मैलवेयर स्कैन करें। अप्रत्याशित PHP फ़ाइलों, अनुसूचित कार्यों (wp_cron), या संदिग्ध होस्टों के लिए आउटबाउंड कनेक्शनों की जांच करें।.

7. लॉग और ट्रैफ़िक की निगरानी करें

   असामान्य व्यवस्थापक लॉगिन, ट्रैफ़िक में वृद्धि, और सर्वर से आउटबाउंड कनेक्शनों के लिए उच्च निगरानी रखें।.

8. संचार योजना

   यदि ग्राहक या उपयोगकर्ता डेटा प्रभावित हो सकता है, तो कानूनी और आंतरिक नीतियों के अनुसार सूचनाएँ तैयार करें।.

वर्चुअल पैचिंग और WAF रणनीतियाँ (नियम और उदाहरण)

जब तत्काल अपडेट संभव नहीं हो, तो अनुरोध फ़िल्टरिंग के माध्यम से आभासी पैचिंग जोखिम को कम कर सकती है। लक्ष्य कमजोर अंत बिंदुओं और फ़ील्ड को लक्षित करना है ताकि झूठे सकारात्मक को न्यूनतम किया जा सके। उत्पादन से पहले सभी नियमों का परीक्षण करें।.

नियम डिज़ाइन नोट्स

• मेनू/विजेट सामग्री के लिए उपयोग किए जाने वाले प्लगइन के विशिष्ट अंत बिंदुओं और पैरामीटर नामों को लक्षित करें।.
• उन फ़ील्ड में स्क्रिप्टिंग संरचनाओं वाले अनुरोधों को अवरुद्ध करें जो सामान्य पाठ होना चाहिए: , <img … onerror=…, javascript:, onload=, onclick=, innerHTML असाइनमेंट, आदि।.
• साइट की सामग्री को संशोधित करने वाले अंत बिंदुओं के लिए आवश्यक नॉनसेस और क्षमता जांच लागू करें।.
• सामूहिक प्रयासों की पहचान करने के लिए दर सीमित करना और विसंगति पहचान लागू करें।.

उदाहरण WAF नियम पैटर्न (संकल्पनात्मक)

1. मेनू या विजेट फ़ील्ड में इनलाइन स्क्रिप्ट टैग को अवरुद्ध करें

   यदि अनुरोध में मेनू_text/menu_title/widget_content से संबंधित पैरामीटर नाम होते हैं और मान /<script\b/i से मेल खाता है, तो अवरुद्ध करें।.

2. फ़ील्ड में इवेंट-हैंडलर विशेषताओं को अवरुद्ध करें

   यदि मान /(onerror|onload|onclick|onmouseover|onfocus)\s*=/i से मेल खाता है तो ब्लॉक करें।.

3. javascript: योजना को ब्लॉक करें

   यदि कोई भी फ़ील्ड /^javascript:/i को शामिल करता है तो ब्लॉक करें।.

4. WP नॉनसेस/क्षमता टोकन की आवश्यकता और मान्यता करें

   उन अनुरोधों को ब्लॉक करें जिनमें मान्य नॉनसेस या उचित क्षमता संदर्भ नहीं है जो प्रमाणित किए जाने चाहिए।.

5. सामग्री-परिवर्तन करने वाले एंडपॉइंट्स के लिए बिना प्रमाणित REST/AJAX कॉल को ब्लॉक करें

   POST को अस्वीकार करें जो बिना मान्य प्रमाणीकरण के मेनू/विजेट डेटा बनाने/अपडेट करने का प्रयास करते हैं।.

निगरानी नियम का उदाहरण

जब wp_posts प्रविष्टियाँ जिनका post_type = ‘nav_menu_item’ HTML टैग या इवेंट हैंडलर विशेषताएँ शामिल करती हैं, तो अलर्ट उत्पन्न करें।.

सामग्री सुरक्षा नीति (CSP)

एक सख्त CSP लागू करने से XSS के प्रभाव को सीमित किया जा सकता है, इनलाइन स्क्रिप्ट को अस्वीकार करके और स्क्रिप्ट स्रोतों को प्रतिबंधित करके। उदाहरण (तैनाती से पहले पूरी तरह से परीक्षण करें):

सामग्री-सुरक्षा-नीति: डिफ़ॉल्ट-स्रोत 'स्वयं'; स्क्रिप्ट-स्रोत 'स्वयं' https://trusted.cdn.example.com; ऑब्जेक्ट-स्रोत 'कोई नहीं'; आधार-यूआरआई 'स्वयं'; फ़्रेम-पूर्वज 'कोई नहीं'; शैली-स्रोत 'स्वयं' 'असुरक्षित-इनलाइन' https://trusted.cdn.example.com;

जब मजबूत सुरक्षा की आवश्यकता हो तो स्क्रिप्ट के लिए ‘unsafe-inline’ से बचें।.

दीर्घकालिक सुधार और डेवलपर मार्गदर्शन

डेवलपर्स और साइट रखरखाव करने वालों को इस घटना को इनपुट हैंडलिंग, प्राधिकरण, और थीम और प्लगइन्स में आउटपुट एस्केपिंग को मजबूत करने के लिए एक संकेत के रूप में मानना चाहिए।.

प्रमुख प्रथाएँ

• उचित क्षमता जांच और नॉनसेस के साथ संवेदनशील क्रियाओं को गेट करें (जैसे, current_user_can और check_ajax_referer)।.
• लिखने पर इनपुट को साफ करें और आउटपुट पर एस्केप करें: sanitize_text_field, wp_kses_post (एक सख्त व्हाइटलिस्ट के साथ), esc_html, esc_attr, esc_url के अनुसार।.
• न्यूनतम विशेषाधिकार के सिद्धांत को लागू करें: बिना प्रमाणीकरण के अविश्वसनीय इनपुट स्वीकार करने वाले एंडपॉइंट्स को उजागर न करें।.
• उन फ़ील्ड्स में कच्चा HTML स्टोर करने से बचें जो सामान्य पाठ होना चाहिए—इनपुट पर साफ करें और प्रकारों को मान्य करें।.
• पुनरावृत्ति और सुरक्षा परीक्षण शामिल करें जो स्क्रिप्ट टैग को इंजेक्ट करने का प्रयास करते हैं और उचित सफाई की पुष्टि करते हैं।.
• सुरक्षित व्यवहार को डिफ़ॉल्ट करें: विजेट और शॉर्टकोड को एस्केप की गई सामग्री को रेंडर करना चाहिए जब तक कि अधिकृत व्यवस्थापक द्वारा सीमित HTML की अनुमति देने के लिए स्पष्ट रूप से कॉन्फ़िगर न किया गया हो।.

घटना प्रतिक्रिया और पुनर्प्राप्ति सर्वोत्तम प्रथाएँ

यदि आप निर्धारित करते हैं कि आपकी साइट का दुरुपयोग किया गया है, तो एक संरचित प्रतिक्रिया का पालन करें:

1. सीमित करें — कमजोर प्लगइन या प्रभावित कार्यक्षमता को निष्क्रिय करें; साइट को रखरखाव मोड में रखने पर विचार करें।.
2. साक्ष्य को संरक्षित करें — फोरेंसिक समीक्षा के लिए लॉग, डेटाबेस स्नैपशॉट और फ़ाइल प्रणाली छवियों का संग्रह करें।.
3. समाप्त करें — इंजेक्टेड मेनू आइटम और किसी भी बैकडोर को हटा दें; समझौता की गई फ़ाइलों को साफ़ करें या पुनर्स्थापित करें।.
4. पुनर्प्राप्त करें — यदि उपलब्ध हो, तो एक साफ़ बैकअप से पुनर्स्थापित करें, प्लगइन अपडेट (2.0.6.2+) लागू करें, और फिर से स्कैन करें।.
5. घटना के बाद — पासवर्ड और एपीआई कुंजी बदलें, कॉन्फ़िगरेशन को मजबूत करें, और पुनः-संक्रमण के लिए निगरानी रखें।.
6. सूचित करें — यदि व्यक्तिगत डेटा उजागर हो सकता है, तो कानूनी और संगठनात्मक सूचना आवश्यकताओं का पालन करें।.

अंतिम नोट्स और अनुशंसित पठन

प्लगइन पारिस्थितिकी तंत्र शक्तिशाली क्षमताएँ प्रदान करता है लेकिन जब घटक प्राधिकरण और स्वच्छता को लागू करने में विफल होते हैं तो जोखिम बढ़ाता है। पूर्ण सुधार का सबसे तेज़ मार्ग मास्टर ऐडऑन को संस्करण 2.0.6.2 या बाद में अपडेट करना है। यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो ऊपर वर्णित सीमित उपाय लागू करें, डेटाबेस को खोजें और स्वच्छ करें, और पैच शेड्यूल करते समय लक्षित अनुरोध फ़िल्टरिंग का उपयोग करें।.

यदि आपको स्कैनिंग, वर्चुअल पैचिंग, या फोरेंसिक जांच के लिए पेशेवर सहायता की आवश्यकता है, तो एक प्रतिष्ठित सुरक्षा सलाहकार या घटना प्रतिक्रिया प्रदाता से संपर्क करें। तेजी से सीमित करना, सबूतों का संरक्षण, और सावधानीपूर्वक सुधार को प्राथमिकता दें ताकि संचालन में बाधा न आए।.

सतर्क रहें: समय पर अपडेट, न्यूनतम विशेषाधिकार नियंत्रण, और स्तरित रक्षा समान घटनाओं की संभावना को कम करते हैं।.

— हांगकांग सुरक्षा विशेषज्ञ

अनुप्रयोग: त्वरित चेकलिस्ट (एक पृष्ठ)

• [ ] तुरंत प्लगइन संस्करण की जांच करें (मास्टर ऐडऑन ≤ 2.0.6.1 कमजोर)
• [ ] प्लगइन को 2.0.6.2 या बाद में अपडेट करें
• [ ] यदि अपडेट करने में असमर्थ हैं, तो प्लगइन को निष्क्रिय करें या नेविगेशन मेनू विजेट को हटा दें
• [ ] मेनू/विजेट एंडपॉइंट्स के लिए लक्षित अनुरोध फ़िल्टरिंग और दर सीमाएँ लागू करें
• [ ] डेटाबेस में या इवेंट हैंडलर्स वाले nav_menu_item प्रविष्टियों की खोज करें
• [ ] किसी भी इंजेक्टेड मेनू आइटम को हटा दें या स्वच्छ करें
• [ ] व्यवस्थापक पासवर्ड और एपीआई कुंजी बदलें
• [ ] फ़ाइलों और डेटाबेस का पूर्ण मैलवेयर स्कैन चलाएँ
• [ ] यदि समझौता संदेहास्पद है तो लॉग और सबूतों को संरक्षित करें
• [ ] दीर्घकालिक कठोरता लागू करें: CSP, इनपुट स्वच्छता, क्षमता जांच, आउटपुट को एस्केप करें