ERI फ़ाइल पुस्तकालय (≤ 1.1.0) — अनुपस्थित प्राधिकरण के कारण अनधिकृत सुरक्षित फ़ाइल डाउनलोड की अनुमति (CVE-2025-12041)

लेखक: हांगकांग सुरक्षा विशेषज्ञ

प्रकाशित: 2025-10-31

परिचय

31 अक्टूबर 2025 को ERI फ़ाइल पुस्तकालय प्लगइन (संस्करण ≤ 1.1.0, 1.1.1 में ठीक किया गया) पर प्रभाव डालने वाली एक टूटी हुई पहुँच नियंत्रण भेद्यता को CVE-2025-12041 के रूप में प्रकाशित किया गया। यह दोष अनधिकृत उपयोगकर्ताओं को उन फ़ाइलों को डाउनलोड करने की अनुमति देता है जो प्लगइन द्वारा सुरक्षित होने के लिए निर्धारित हैं, क्योंकि प्राधिकरण जांच अनुपस्थित या गलत हैं।.

यह सलाह साइट के मालिकों और प्रशासकों के लिए संक्षिप्त, व्यावहारिक मार्गदर्शन प्रदान करती है: समस्या क्या है, हमलावर आमतौर पर इसका दुरुपयोग कैसे करते हैं (सैद्धांतिक रूप से), पहचान विधियाँ, तत्काल शमन उपाय जो आप अभी लागू कर सकते हैं, और दीर्घकालिक सख्ती के कदम। कोई शोषण कोड प्रदान नहीं किया गया है।.

कार्यकारी सारांश (आपको क्या जानने की आवश्यकता है)

• कमजोरियों: टूटी हुई पहुँच नियंत्रण — फ़ाइल डाउनलोड के लिए अनुपस्थित प्राधिकरण जांच।.
• प्रभावित संस्करण: ERI फ़ाइल पुस्तकालय ≤ 1.1.0
• में ठीक किया गया: 1.1.1
• CVE: CVE-2025-12041
• आवश्यक विशेषाधिकार: अनधिकृत (लॉगिन की आवश्यकता नहीं)
• जोखिम: गोपनीय/सुरक्षित फ़ाइलें किसी भी व्यक्ति द्वारा डाउनलोड की जा सकती हैं जो प्लगइन के डाउनलोड अंत बिंदु तक पहुँच सकता है।.
• तात्कालिक कार्रवाई: प्लगइन को 1.1.1 या बाद के संस्करण में अपडेट करें। यदि आप तुरंत अपडेट नहीं कर सकते हैं, तो वेब सर्वर या एज स्तर पर अस्थायी पहुँच नियंत्रण लागू करें, या पैच करने तक प्लगइन पथ को प्रतिबंधित करें।.

भेद्यता वास्तव में क्या है (साधारण भाषा)

फ़ाइल-प्रबंधन प्लगइनों को सुरक्षित फ़ाइल प्रदान करने से पहले दो चीज़ों की पुष्टि करनी चाहिए:

1. प्रमाणीकरण — क्या अनुरोधकर्ता लॉगिन किया हुआ है?
2. प्राधिकरण - क्या अनुरोधकर्ता को अनुरोधित फ़ाइल तक पहुँचने की अनुमति है?

यह भेद्यता एक अनुपस्थित-प्राधिकरण समस्या है: प्लगइन एक डाउनलोड एंडपॉइंट को उजागर करता है जो फ़ाइलों को इस बिना सत्यापित किए प्रदान करता है कि अनुरोधकर्ता को उस विशेष फ़ाइल के लिए अधिकार हैं। अनाम आगंतुक या स्वचालित क्रॉलर इस प्रकार उन फ़ाइलों को सूचीबद्ध या सीधे डाउनलोड कर सकते हैं जो निजी (ग्राहक दस्तावेज़, चालान, निजी छवियाँ, अटैचमेंट, आदि) होने के लिए निर्धारित थीं।.

हालांकि यह दूरस्थ कोड निष्पादन या SQL इंजेक्शन नहीं है, तत्काल प्रभाव डेटा का उजागर होना है। उजागर फ़ाइलों में रहस्य या कॉन्फ़िगरेशन शामिल हो सकते हैं जो आगे के हमलों को सक्षम करते हैं।.

एक हमलावर आमतौर पर इसे कैसे दुरुपयोग करेगा (सैद्धांतिक)

• प्लगइन के डाउनलोड एंडपॉइंट का पता लगाएँ (सामान्य पैटर्न में प्लगइन निर्देशिकाएँ या AJAX एंडपॉइंट शामिल हैं जो प्लगइन द्वारा उपयोग किए जाते हैं)।.
• फ़ाइल पहचानकर्ताओं का संदर्भ देते हुए अनुरोध तैयार करें: आईडी, टोकन, फ़ाइल नाम, या पथ।.
• क्योंकि प्राधिकरण लागू नहीं किया गया है, सर्वर प्रमाणीकरण की परवाह किए बिना फ़ाइल सामग्री लौटाता है।.
• हमलावर सुरक्षित फ़ाइलों को डाउनलोड कर सकता है, संभवतः थोक में, पूर्वानुमानित आईडी को सूचीबद्ध करके या पथों का अनुमान लगाकर।.

यहाँ कोई शोषण कोड प्रदान नहीं किया गया है; ध्यान पहचान और सुधार पर है।.

शोषणीयता और प्रभाव विश्लेषण

• शोषणीयता: डेटा पहुँच के लिए उच्च - यदि फ़ाइल पहचानकर्ता पूर्वानुमानित हैं या खोज संभव है तो सीधा।.
• प्रभाव: गोपनीयता का उल्लंघन। उजागर फ़ाइलों में PII, वित्तीय दस्तावेज़, निजी छवियाँ, या रहस्य (API कुंजी, पर्यावरण फ़ाइलें) शामिल हो सकते हैं जो डाउनस्ट्रीम जोखिम को बढ़ाते हैं।.
• CVSS: प्रकाशित CVSS आधार रेखा: 5.3। साइट-विशिष्ट जोखिम संग्रहीत डेटा के आधार पर अधिक हो सकता है।.

पहचान और समझौते के संकेत (क्या देखना है)

यह निर्धारित करने के लिए इन स्रोतों की जाँच करें कि क्या आपकी साइट पर भेद्यता का दुरुपयोग किया गया है:

1. वेब सर्वर एक्सेस लॉग (Apache, Nginx)

• प्लगइन पथों पर बार-बार GET अनुरोध, जैसे कि पथ जिसमें शामिल हैं /wp-content/plugins/eri-file-library/ या प्रश्न पैरामीटर जो डाउनलोड को इंगित करते हैं (आईडी, फ़ाइल, टोकन, फ़ाइल_आईडी, डाउनलोड).
• पहले से अनाम आईपी से डाउनलोड एंडपॉइंट अनुरोधों के लिए 200 प्रतिक्रियाओं की बड़ी संख्या।.
• संवेदनशील एक्सटेंशन के लिए अनुरोध (.pdf, .xls, .env, .pem, .zip) प्रमाणीकरण रहित स्रोतों से।.

उदाहरण grep पैटर्न:

grep -E "eri-file-library|eri_file_library|file_library" /var/log/nginx/access.log"

2. एप्लिकेशन लॉग

• प्लगइन लॉग जो बिना संबंधित उपयोगकर्ता के डाउनलोड अनुरोध दिखाते हैं या सत्र विसंगतियों को दिखाते हैं।.
• असामान्य स्पाइक्स में admin-ajax फ़ाइल पहचानकर्ताओं सहित अनुरोध।.

3. होस्टिंग नियंत्रण पैनल / स्टोरेज लॉग

• ऑब्जेक्ट स्टोरेज एक्सेस लॉग (S3, Spaces) जो प्लगइन-प्रबंधित ऑब्जेक्ट्स के लिए मैप की गई प्रत्यक्ष डाउनलोड दिखाते हैं।.
• फ़ाइल सिस्टम टाइमस्टैम्प: संदिग्ध आईपी के समय पर सुरक्षित फ़ाइलों की पढ़ाई।.

4. विश्लेषण और SIEM

• नए या संदिग्ध IPs/भौगोलिक क्षेत्रों से एंडपॉइंट घटनाओं को डाउनलोड करें; प्लगइन एंडपॉइंट्स पर ट्रैफ़िक में वृद्धि।.

5. उपयोगकर्ता रिपोर्ट

• उपयोगकर्ता लीक हुए फ़ाइलों की रिपोर्ट कर रहे हैं या अप्रत्याशित पहुँच सूचनाएँ प्राप्त कर रहे हैं।.

यदि कोई संकेत दिखाई देते हैं, तो लॉग को संरक्षित करें और नीचे दिए गए घटना प्रतिक्रिया चरणों का पालन करें।.

तात्कालिक शमन कदम (अल्पकालिक)

यदि आप तुरंत ERI फ़ाइल पुस्तकालय को अपडेट नहीं कर सकते हैं, तो अनधिकृत पहुँच को रोकने के लिए एक या अधिक अस्थायी शमन लागू करें:

1. प्लगइन को अपडेट करें।. सबसे विश्वसनीय समाधान सभी साइटों पर ERI फ़ाइल पुस्तकालय 1.1.1 या बाद के संस्करण को स्थापित करना है।.
2. वेब सर्वर या एज पर प्लगइन एंडपॉइंट्स को ब्लॉक या प्रतिबंधित करें।. प्लगइन फ़ोल्डर या डाउनलोड एंडपॉइंट्स तक सार्वजनिक पहुँच को अस्वीकृत करें जब तक कि प्रमाणीकरण न हो। IP अनुमति सूचियों, बेसिक ऑथ, या सार्वजनिक पहुँच को ब्लॉक करें और केवल प्रशासक IPs को अनुमति दें जब तक कि पैच न किया जाए।.
3. डाउनलोड के लिए वर्डप्रेस लॉगिन कुकी की आवश्यकता है (अस्थायी WAF/वेब सर्वर नियम)।. वर्डप्रेस लॉगिन कुकी की कमी वाले अनुरोधों को ब्लॉक करें (कुकीज़ जो शुरू होती हैं wordpress_logged_in_)। यह गुमनाम शोषण को कम करता है लेकिन यह पूर्ण प्राधिकरण जांच नहीं है।.
4. संरक्षित फ़ाइलों को वेब रूट से बाहर ले जाएँ।. यदि प्लगइन सेटिंग्स अनुमति देती हैं, तो निजी संपत्तियों को सार्वजनिक वेब निर्देशिकाओं के बाहर स्थानांतरित करें ताकि उन्हें सरल HTTP GETs द्वारा प्राप्त नहीं किया जा सके।.
5. जब आप पैच कर रहे हों तो प्लगइन को निष्क्रिय करें।. यदि प्लगइन गैर-आवश्यक है और शमन संभव नहीं है, तो इसे पैच होने तक निष्क्रिय करें।.
6. फ़ाइल प्रकारों को सीमित करें।. अत्यधिक संवेदनशील फ़ाइलों को हटा दें या स्थानांतरित करें (.env, .sql, .pem) जो गलती से अपलोड किया गया हो सकता है।.

वर्चुअल पैचिंग और WAF नियम — उदाहरण हस्ताक्षर

इन उदाहरण नियमों का उपयोग अपने WAF या वेब सर्वर पर अस्थायी वर्चुअल पैच के रूप में करें। ब्लॉक करने से पहले निगरानी मोड में नियमों का परीक्षण करें ताकि झूठे सकारात्मक से बचा जा सके। अपने वातावरण के अनुसार पथ और तर्क नामों को अनुकूलित करें।.

ModSecurity (उदाहरण)

# ERI फ़ाइल पुस्तकालय डाउनलोड अंत बिंदुओं तक अनधिकृत पहुंच को ब्लॉक करें"

व्याख्या:

• संभावित प्लगइन URIs या admin-ajax से मेल खाएं; डाउनलोड के लिए उपयोग किए जाने वाले पैरामीटर की तलाश करें; जब कोई वर्डप्रेस लॉगिन कुकी मौजूद न हो तो इनकार करें।.

Nginx (स्थान ब्लॉक) — पथ द्वारा सरल ब्लॉकिंग

# प्लगइन डाउनलोड अंत बिंदु तक पहुंच को अस्वीकार करें (अस्थायी)

Nginx + Lua (कुकी-आधारित जांच)

access_by_lua_block {

नोट्स:

• कुकी जांच एक प्रमाणित सत्र की उपस्थिति को लागू करती है, प्रति-फ़ाइल प्राधिकरण नहीं।.
• यदि आपका वातावरण इनका सुरक्षित रूप से उपयोग नहीं कर सकता है, तो प्लगइन को निष्क्रिय करना या IP रेंज द्वारा पहुंच को प्रतिबंधित करना पसंद करें।.

दीर्घकालिक शमन और सुरक्षित डिज़ाइन सिफारिशें

इस घटना का उपयोग निजी संपत्तियों को सेवा देने और प्रबंधित करने के तरीके को मजबूत करने के अवसर के रूप में करें।.

1. उचित सर्वर-साइड प्राधिकरण को लागू करें।. प्रत्येक फ़ाइल डाउनलोड प्रवाह को प्रमाणीकरण और बारीक प्राधिकरण दोनों की पुष्टि करनी चाहिए: सुनिश्चित करें कि वर्तमान उपयोगकर्ता को विशिष्ट फ़ाइल (स्वामी या भूमिका आधारित) तक पहुंच के अधिकार हैं।.
2. अनुमानित नहीं होने वाले टोकन का उपयोग करें।. अस्थायी URLs के लिए, सुनिश्चित करें कि टोकन लंबे, यादृच्छिक, एकल-उपयोग या समय-सीमित हैं।.
3. संवेदनशील फ़ाइलों को वेब रूट के बाहर स्टोर करें।. फ़ाइलों को एक नियंत्रित स्क्रिप्ट के माध्यम से सेवा करें जो अनुमति जांच को लागू करती है, X-Accel-Redirect या X-Sendfile पैटर्न का उपयोग करते हुए जहां एप्लिकेशन प्राधिकृत करता है फिर सर्वर को फ़ाइल वितरित करने के लिए निर्देशित करता है।.
4. ऑडिट प्लगइन अनुमतियाँ और फ़ाइल अपलोड कोड।. पुष्टि करें कि फ़ाइल सूचीकरण कार्य पहचानकर्ताओं या निर्देशिका अनुक्रमों को लीक नहीं करते हैं।.
5. न्यूनतम विशेषाधिकार लागू करें।. प्रशासनिक संचालन के लिए उपयुक्त क्षमताएँ आवश्यक होनी चाहिए; उन व्यापक भूमिकाओं से बचें जो फ़ाइलों को सूचीबद्ध या डाउनलोड कर सकती हैं।.
6. अपडेट अनुशासन बनाए रखें।. प्लगइन अपडेट को स्वचालित या अनुसूचित करें; महत्वपूर्ण सुरक्षा सुधारों को तुरंत लागू करें।.

घटना प्रतिक्रिया चेकलिस्ट (यदि आप संदिग्ध डाउनलोड का पता लगाते हैं)

1. लॉग को संरक्षित करें।. फोरेंसिक विश्लेषण के लिए प्रासंगिक पहुँच और त्रुटि लॉग को ऑफ़लाइन स्थान पर संग्रहित करें।.
2. तुरंत पैच करें।. ERI फ़ाइल पुस्तकालय को 1.1.1 या बाद के संस्करण में अपडेट करें। यदि संभव न हो, तो प्लगइन को निष्क्रिय करें या अस्थायी पहुँच नियंत्रण लागू करें।.
3. उजागर फ़ाइलों की पहचान करें।. लॉग का उपयोग करें यह enumerating करने के लिए कि कौन सी फ़ाइलें प्रदान की गई थीं और संवेदनशील वस्तुओं को खोजने के लिए सूची के साथ क्रॉस-चेक करें।.
4. प्रभाव का आकलन करें।. निर्धारित करें कि क्या उजागर फ़ाइलों में PII, क्रेडेंशियल्स, या विनियमित डेटा है और गंभीरता को वर्गीकृत करें।.
5. प्रभावित पक्षों को सूचित करें।. यदि विनियमित डेटा या PII उजागर हुआ है, तो कानूनी और संविदात्मक सूचना देने के दायित्वों का पालन करें।.
6. कुंजी घुमाएँ।. यदि फ़ाइलों में API कुंजी, टोकन या क्रेडेंशियल्स हैं, तो उन्हें तुरंत घुमाएँ।.
7. अनुवर्ती गतिविधियों के लिए स्कैन करें।. यह सुनिश्चित करने के लिए मैलवेयर स्कैन और अखंडता जांच करें कि कोई और समझौता नहीं हुआ है।.
8. हार्डन और मॉनिटर करें।. दीर्घकालिक उपाय लागू करें और संदिग्ध गतिविधियों की निगरानी बढ़ाएं।.
9. घटना के बाद की समीक्षा।. मूल कारण का दस्तावेजीकरण करें और पुनरावृत्ति को रोकने के लिए प्रक्रियाओं को अपडेट करें।.

अनुशंसित लॉग-खोज क्वेरी (व्यावहारिक)

संदिग्ध डाउनलोड गतिविधि खोजने के लिए इन त्वरित खोजों का उपयोग करें। पैटर्न को आवश्यकतानुसार समायोजित करें।.

# 'डाउनलोड' या 'फाइल' को क्वेरी में GET अनुरोध खोजें"

एज सुरक्षा और पहचान ह्यूरिस्टिक्स (सैद्धांतिक)

प्रबंधित एज सुरक्षा और WAFs आभासी पैच और पहचान नियम लागू करके जोखिम को कम कर सकते हैं - लेकिन ये सही ऐप में प्राधिकरण के लिए पूरक हैं, प्रतिस्थापन नहीं। विचार करने के लिए उदाहरण ह्यूरिस्टिक्स:

• जब कोई wordpress_logged_in_ कुकी मौजूद नहीं है और क्वेरी पैरामीटर फ़ाइल आईडी को इंगित करते हैं, तो प्लगइन डाउनलोड अंत बिंदुओं के लिए अनुरोध को फ्लैग करें, और प्रतिक्रिया का आकार फ़ाइल वितरण का सुझाव देता है (>50KB)।.
• एकल आईपी से विभिन्न फ़ाइल आईडी के लिए पुनरावृत्त अनुरोधों की दर-सीमा निर्धारित करें (जैसे, प्रति घंटे >50 विशिष्ट फ़ाइल डाउनलोड)।.
• कई 200 प्रतिक्रियाएँ लौटाने वाले अनुक्रमिक संख्यात्मक आईडी पर अलर्ट करें (गणना पैटर्न)।.
• एकल आईपी से दोहराए गए टोकन अनुमान की गिनती करके टोकन ब्रूट-फोर्स प्रयासों का पता लगाएं।.

नियमों को ट्यून करने और ब्लॉक करने से पहले झूठे सकारात्मक को कम करने के लिए निगरानी मोड में पहचान शुरू करें।.

हार्डनिंग चेकलिस्ट जिसे आपको अब करना चाहिए

• हर साइट पर ERI फ़ाइल पुस्तकालय को 1.1.1 या बाद के संस्करण में अपडेट करें।.
• प्लगइन-नियंत्रित क्षेत्रों में संग्रहीत संवेदनशील फ़ाइलों की समीक्षा करें और यदि आवश्यक हो तो उन्हें स्थानांतरित करें।.
• प्लगइन कोड का ऑडिट करें या किसी फ़ाइल-सेवा नियंत्रक के लिए प्राधिकरण जांच सुनिश्चित करने के लिए विक्रेता की पुष्टि का अनुरोध करें।.
• पैच होने तक प्लगइन अंत बिंदुओं तक अप्रमाणित पहुंच को अवरुद्ध करने के लिए अस्थायी सर्वर या WAF नियम जोड़ें।.
• साइट को उजागर PII या रहस्यों के लिए स्कैन करें और किसी भी उजागर क्रेडेंशियल को बदलें।.
• बैकअप बनाए रखें और फ़ाइल अखंडता निगरानी सक्षम करें।.
• डाउनलोड गतिविधि में असामान्य स्पाइक्स के लिए अलर्ट कॉन्फ़िगर करें।.

आपको जल्दी क्यों कार्रवाई करनी चाहिए (जोखिम याद दिलाने वाले)

• इस भेद्यता के लिए किसी प्रमाणीकरण की आवश्यकता नहीं है - कोई भी आगंतुक जो एंडपॉइंट तक पहुँच सकता है, फ़ाइलों तक पहुँच सकता है।.
• हमलावर नियमित रूप से प्लगइन एंडपॉइंट्स के लिए स्कैन करते हैं और स्वचालित डाउनलोड करने का प्रयास करते हैं; एक छोटा सा समय अंतराल बड़े पैमाने पर लीक का कारण बन सकता है।.
• उजागर फ़ाइलों में रहस्य हो सकते हैं जो आगे के समझौते को सक्षम करते हैं; उजागर होने के बाद क्रेडेंशियल रोटेशन अक्सर आवश्यक होता है।.

अंतिम विचार - साइट के मालिकों और डेवलपर्स के लिए व्यावहारिक कदम

साइट के मालिकों के लिए:

• निजी फ़ाइलों को उच्च-मूल्य वाले संपत्तियों के रूप में मानें। यहां तक कि एक सुविधा प्लगइन भी डेटा लीक कर सकता है यदि प्राधिकरण की अनदेखी की जाती है।.
• प्लगइन्स को अपडेट रखें और प्लगइन-विशिष्ट एंडपॉइंट्स तक पहुँच की निगरानी करें।.
• परतदार रक्षा का उपयोग करें: कोड में सही प्राधिकरण, होस्टिंग कॉन्फ़िगरेशन (वेब रूट के बाहर फ़ाइलें), और जहाँ उपयुक्त हो, एज सुरक्षा।.

प्लगइन डेवलपर्स के लिए:

• प्रत्येक फ़ाइल-सेवा क्रिया के लिए प्रमाणीकरण और प्राधिकरण दोनों को मान्य करें।.
• अनुमानित पहचानकर्ताओं और समय-सीमित डाउनलोड टोकन का उपयोग करें।.
• स्वचालित परीक्षणों और खतरे के मॉडलिंग में अनुमति जांच को शामिल करें।.
• स्पष्ट चेंजलॉग और सुरक्षा नोटिस प्रदान करें; पैच करें और तुरंत सुधारों की जानकारी दें।.

सहायता

यदि आपको उजागर होने का आकलन करने, सर्वरों को मजबूत करने, या अस्थायी वर्चुअल पैच लागू करने में पेशेवर मदद की आवश्यकता है, तो एक योग्य सुरक्षा सलाहकार या आपके होस्टिंग प्रदाता की सुरक्षा टीम से संपर्क करें। सबूत को संरक्षित करें और प्रभावित सिस्टम को अपडेट या अलग करने के लिए जल्दी कार्रवाई करें।.

सतर्क रहें,

हांगकांग सुरक्षा विशेषज्ञ