Urgent: Auto Post Scheduler <= 1.84 — CSRF → Stored XSS (CVE‑2026‑1877) — What WordPress Site Owners Must Do Now

A medium‑severity vulnerability (CVE‑2026‑1877, CVSS 7.1) affects the Auto Post Scheduler WordPress plugin (versions ≤ 1.84). The flaw allows a Cross‑Site Request Forgery (CSRF) that results in stored Cross‑Site Scripting (XSS) within the plugin’s options handling (aps_options_page). In short: an attacker can cause JavaScript to be written into plugin options and later executed in an administrative context or wherever those options are rendered. That execution can lead to site compromise if administrators are targeted.

यह सलाह—हांगकांग में सुरक्षा विशेषज्ञों द्वारा तैयार की गई—समस्या, व्यावहारिक दुरुपयोग परिदृश्यों, समझौते का पता लगाने के तरीके, और आधिकारिक प्लगइन पैच की प्रतीक्षा करते समय आप लागू कर सकते हैं तत्काल शमन कदमों को समझाती है।.

कार्यकारी सारांश (TL;DR)

• Affected software: Auto Post Scheduler plugin (WordPress) — versions ≤ 1.84.
• सुरक्षा दोष का प्रकार: CSRF जो प्लगइन विकल्प पृष्ठ (aps_options_page) के माध्यम से स्टोर किए गए XSS को सक्षम करता है।.
• CVE: CVE‑2026‑1877
• गंभीरता: मध्यम (CVSS 7.1)
• शोषण क्षमता: एक विशेषाधिकार प्राप्त, लॉगिन किए हुए उपयोगकर्ता (आमतौर पर एक प्रशासक) को धोखा देने की आवश्यकता होती है। एक हमलावर बाहरी रूप से शोषण पृष्ठ होस्ट कर सकता है; पीड़ित को प्रमाणित होना चाहिए और हमले के पृष्ठ पर जाना चाहिए।.
• जोखिम: प्रशासनिक संदर्भ में स्टोर किया गया XSS पूर्ण साइट अधिग्रहण का कारण बन सकता है — प्रशासनिक खाते बनाना, बैकडोर स्थापित करना, डेटा निकालना।.
• तत्काल कार्रवाई: यदि संभव हो तो प्लगइन को निष्क्रिय करें। यदि नहीं, तो लक्षित WAF नियम लागू करें, प्रशासनिक क्रेडेंशियल्स को घुमाएं, और इंजेक्टेड स्क्रिप्ट के लिए स्कैन करें।.

भेद्यता वास्तव में क्या है?

प्लगइन एक विकल्प हैंडलर (aps_options_page) को उजागर करता है जो POST किए गए विकल्प मानों को स्वीकार करता है जो पर्याप्त CSRF सत्यापन के बिना और प्रस्तुत करते समय आउटपुट को साफ़ या एस्केप किए बिना संग्रहीत होते हैं। विशेष रूप से:

• स्थिति-परिवर्तन अनुरोध पर कोई उचित नॉनस या अनुपस्थित क्षमता जांच लागू नहीं की जाती है।.
• विकल्पों में संग्रहीत इनपुट बाद में सुरक्षित एस्केपिंग के बिना प्रस्तुत किया जाता है, जो स्थायी XSS को सक्षम करता है।.
• क्योंकि निष्पादन प्रशासनिक पृष्ठों में हो सकता है, हमलावर उच्च-विशेषाधिकार जावास्क्रिप्ट निष्पादन प्राप्त करता है।.

यह एक CSRF → स्टोर किया गया XSS श्रृंखला बनाता है: एक हमलावर एक अनुरोध बनाता है जो विकल्पों में दुर्भावनापूर्ण सामग्री लिखता है; बाद में उन विकल्पों का दृश्यन लोड करता है।.

हमले का प्रवाह (कैसे एक हमलावर इसका दुरुपयोग करता है)

1. Attacker hosts a webpage that issues a POST to the target WordPress site’s aps_options_page with fields containing JavaScript payloads.
2. हमलावर एक प्रशासक (या अन्य विशेषाधिकार प्राप्त उपयोगकर्ता) को लॉगिन करते समय दुर्भावनापूर्ण पृष्ठ पर जाने के लिए धोखा देता है।.
3. प्रशासक का ब्राउज़र सक्रिय कुकीज़ का उपयोग करके स्वचालित रूप से POST सबमिट करता है; प्लगइन दुर्भावनापूर्ण इनपुट को संग्रहीत करता है।.
4. जब एक व्यवस्थापक बाद में प्लगइन सेटिंग्स (या कहीं और विकल्प प्रस्तुत किया गया है) को देखता है, तो संग्रहीत स्क्रिप्ट उस व्यवस्थापक के ब्राउज़र में निष्पादित होती है।.
5. स्क्रिप्ट विशेषाधिकार प्राप्त क्रियाएँ करती है (उपयोगकर्ता बनाना, प्लगइन स्थापित करना, फ़ाइलें संशोधित करना) या डेटा को बाहर निकालती है।.

नोट: हमलावर को दुर्भावनापूर्ण पृष्ठ को होस्ट या भेजने के लिए प्रमाणित होने की आवश्यकता नहीं है - केवल पीड़ित को पर्याप्त विशेषाधिकार के साथ लॉग इन होना चाहिए।.

वास्तविक प्रभाव परिदृश्य

• व्यवस्थापक सत्र का समझौता (कुकी चोरी या व्यवस्थापक विशेषाधिकार का उपयोग करके XHR क्रियाएँ)।.
• एक नए व्यवस्थापक खाते का चुपचाप निर्माण और पहुँच का नुकसान।.
• बैकडोर प्लगइन्स या थीम संशोधनों की स्थापना ताकि पहुँच बनी रहे।.
• उपयोगकर्ता सूचियों, कॉन्फ़िगरेशन, या अन्य संवेदनशील डेटा का बाहर निकालना।.
• मैलवेयर, SEO स्पैम, या आगंतुक रीडायरेक्ट्स का वितरण।.

व्यवस्थापक पृष्ठों के अंदर संग्रहीत XSS उच्च प्रभाव डालता है क्योंकि यह प्रभावी रूप से हमलावर को ब्राउज़र के माध्यम से व्यवस्थापक की क्षमताएँ सौंपता है।.

कैसे जांचें कि आपकी साइट कमजोर है या पहले से ही समझौता की गई है

1. प्लगइन संस्करण जांचें:
   • व्यवस्थापक UI: प्लगइन्स → स्थापित प्लगइन्स → ऑटो पोस्ट शेड्यूलर। यदि संस्करण ≤ 1.84 है, तो इसे संवेदनशील मानें।.
   • WP‑CLI: wp प्लगइन प्राप्त करें auto-post-scheduler --field=version
2. संग्रहीत विकल्पों का निरीक्षण करें:
   • देखें 11. संदिग्ध सामग्री के साथ। table for option names containing “aps”, “auto_post_scheduler”, etc.
   • उदाहरण क्वेरी:

     SELECT option_name, option_value FROM wp_options WHERE option_name LIKE '%aps%' OR option_name LIKE '%auto_post%';

   • के लिए खोजें , onerror=, or javascript: in option values.
3. Check plugin settings and public output:
   • Open the plugin options page as admin and view the page source for injected script tags or inline event handlers.
   • Search backups and exported options for injected payloads.
4. Logs:
   • Review webserver and access logs for suspicious POSTs to admin endpoints and unusual Content‑Type or payloads.
5. Indicators of compromise:
   • Unexpected administrator accounts.
   • New or modified plugins/themes you did not install.
   • Unusual outbound traffic or cron jobs.
   • Spam content or SEO injections.

// mu-plugin emergency patch: prevent unauthenticated CSRF updates to APS options
add_action( 'admin_init', function() {
    if ( ! empty( $_POST ) && isset( $_POST['action'] ) && $_POST['action'] === 'aps_update_options' ) {
        // Require current_user_can check
        if ( ! current_user_can( 'manage_options' ) ) {
            wp_die( 'Insufficient permissions.' );
        }
        // Verify nonce - plugin should include its own nonce name if available
        if ( ! isset( $_POST['aps_nonce'] ) || ! wp_verify_nonce( $_POST['aps_nonce'], 'aps_save_options' ) ) {
            wp_die( 'Security check failed.' );
        }
        // Quick sanitization example:
        foreach ( $_POST as $key => $val ) {
            if ( is_string( $val ) ) {
                $_POST[ $key ] = wp_kses( $val, array( 'a' => array( 'href' => array(), 'title' => array() ) ) );
            }
        }
    }
}, 1 );

-- Search options for script tags
SELECT option_name, option_value
FROM wp_options
WHERE option_value LIKE '%