| प्लगइन का नाम | यूजर्सWP |
|---|---|
| कमजोरियों का प्रकार | क्रॉस-साइट स्क्रिप्टिंग (XSS) |
| CVE संख्या | CVE-2026-5742 |
| तात्कालिकता | मध्यम |
| CVE प्रकाशन तिथि | 2026-04-13 |
| स्रोत URL | CVE-2026-5742 |
तत्काल: UsersWP स्टोर किया गया XSS (CVE-2026-5742) — वर्डप्रेस साइट मालिकों को अब क्या करना चाहिए
लेखक: हांगकांग सुरक्षा विशेषज्ञ
तारीख: 2026-04-13
टैग: वर्डप्रेस, सुरक्षा, कमजोरियाँ, WAF, UsersWP, XSS
सारांश: UsersWP को प्रभावित करने वाली एक स्टोर की गई क्रॉस-साइट स्क्रिप्टिंग (XSS) कमजोरी (<= 1.2.60) का खुलासा किया गया है (CVE-2026-5742)। सब्सक्राइबर विशेषाधिकार वाले प्रमाणित उपयोगकर्ता एक बैज लिंक फ़ील्ड में पेलोड इंजेक्ट कर सकते हैं जो बाद में अन्य उपयोगकर्ताओं (प्रशासकों सहित) के संदर्भ में प्रदर्शित और निष्पादित किया जा सकता है जब वे कुछ UI तत्वों को देखते हैं। तुरंत 1.2.61 में अपडेट करें या नीचे दिए गए शमन और नियंत्रण कदमों को लागू करें।.
क्या हुआ (संक्षेप में)
- कमजोर घटक: UsersWP प्लगइन (संस्करण ≤ 1.2.60)।.
- कमजोरियों का प्रकार: संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS)।.
- हमले का वेक्टर: एक प्रमाणित उपयोगकर्ता (सब्सक्राइबर) एक बैज लिंक फ़ील्ड में तैयार की गई सामग्री इंजेक्ट कर सकता है जो बाद में अन्य उपयोगकर्ताओं के ब्राउज़रों में प्रदर्शित और निष्पादित होती है।.
- प्रभाव: पीड़ित ब्राउज़रों में मनमाने जावास्क्रिप्ट का निष्पादन (सत्र चोरी, विशेषाधिकार वृद्धि, चुपचाप सामग्री संशोधन, स्थायी बैकडोर)।.
- पैच उपलब्धता: UsersWP 1.2.61 में ठीक किया गया। यदि संभव हो तो तुरंत अपडेट करें।.
यह वर्डप्रेस साइट मालिकों के लिए क्यों महत्वपूर्ण है
- स्टोर किया गया XSS स्थायी है: दुर्भावनापूर्ण सामग्री डेटाबेस में सहेजी जाती है और आगंतुकों और कर्मचारियों को बार-बार प्रदान की जाती है।.
- प्रोफ़ाइल और बैज प्रदर्शन आमतौर पर प्रशासकों और संपादकों के लिए दृश्य होते हैं — एक विशेषाधिकार प्राप्त उपयोगकर्ता जो पृष्ठ देखता है अनजाने में पेलोड को सक्रिय कर सकता है।.
- हमलावर इसको सामाजिक इंजीनियरिंग के साथ जोड़ सकते हैं ताकि प्रशासक या संपादक द्वारा पेलोड निष्पादित होने की संभावना बढ़ सके।.
- वेब साइटें जो खुली पंजीकरण की अनुमति देती हैं या सब्सक्राइबरों को प्रोफ़ाइल फ़ील्ड संपादित करने की अनुमति देती हैं, विशेष रूप से उजागर होती हैं।.
तकनीकी अवलोकन (शोषण कैसे काम करता है — उच्च स्तर)
समस्या एक बैज लिंक फ़ील्ड से उत्पन्न होती है जो उपयोगकर्ता इनपुट स्वीकार करती है, इसे डेटाबेस में सहेजती है, और बाद में उचित सफाई या एस्केपिंग के बिना HTML में सामग्री आउटपुट करती है। सामान्य हमले का प्रवाह:
