वर्डप्रेस प्लगइन्स की श्रृंखला में एक नई भेद्यता प्रकटीकरण सामने आई है। वर्डप्रेस प्लगइन यूजर सबमिटेड पोस्ट्स यूजर्स को अपने फ्रंट एंड फीचर से पोस्ट और इमेज अपलोड करने देता है। यह वर्डप्रेस प्लगइन यूजर-सबमिटेड पोस्ट्स प्लगइन वर्तमान में 30,000 से अधिक इंस्टॉलेशन रखता है। उस समय यह काफी लोकप्रिय था जब इसमें एक गंभीर आर्बिट्ररी फाइल अपलोड भेद्यता पाई गई थी। इस लेख में यूजर सबमिटेड पोस्ट्स एक्सप्लॉइट के विवरण के बारे में और जानें।
क्या आपकी वेबसाइट हैक हुई? हमें यहां एक संदेश छोड़ें या अभी हमारे साथ चैट करें और, हमें आपकी मदद करने में खुशी होगी?
तकनीकी विवरण: यूजर सबमिटेड पोस्ट्स एक्सप्लॉइट
20190426 से पहले और उसके बराबर संस्करण आर्बिट्ररी फाइल अपलोड के लिए संवेदनशील हैं। यह PHP FastCGI के साथ एक अपाचे सर्वर पर किसी भी अनऑथेंटिकेटेड यूजर को 'इमेज अपलोड' फीचर में एक PHP स्क्रिप्ट अपलोड और चलाने की अनुमति देता है जो केवल इमेज फाइलों की अनुमति देने वाला था। पता चलता है कि, यदि नॉन-ब्लैकलिस्टेड एक्सटेंशन व्हाइटलिस्टेड वालों के साथ संयोजन में हैं, तो इस प्लगइन का वैलिडेशन सिस्टम धोखा खा गया था। अधिक स्पष्ट होने के लिए, यदि आप .php एक्सटेंशन को .jpg के साथ छिपा सकते हैं, तो यह सैनिटाइज नहीं होता और वैलिडेट हो जाता है। इसका एक उदाहरण है, script.php.gif। चूंकि .php एक्सटेंशन को इमेज फाइल के रूप में छिपाया गया है, यह सुरक्षा जांच से गुजर जाएगा और अंततः निष्पादित हो जाएगा। इसके परिणामस्वरूप कोई भी दुर्भावनापूर्ण फाइल आपके डेटाबेस तक पहुंच सकती है या आपकी वेबसाइट पर संवेदनशील जानकारी की गोपनीयता को नुकसान पहुंचा सकती है। क्या आपकी वेबसाइट हैक हुई? हमें यहां एक संदेश छोड़ें या अभी हमारे साथ चैट करें और, हमें आपकी मदद करने में खुशी होगी?
निवारक उपाय: यूजर सबमिटेड पोस्ट्स एक्सप्लॉइट
भेद्यता को 20190426 के बाद के संस्करणों में ठीक किया गया था। जितनी जल्दी हो सके पैच किए गए संस्करण में अपडेट करें। चूंकि, भेद्यता अब सार्वजनिक रूप से प्रकट हो चुकी है, पुराने संस्करण का उपयोग हानिकारक साबित हो सकता है। अपनी वेबसाइट को सुरक्षा का अतिरिक्त आश्वासन देने के लिए, अपनी वेबसाइट पर एक वेब एप्लिकेशन फायरवॉल इंस्टॉल करें। एस्ट्रा वेब सिक्योरिटी अपने WAF (वेब एप्लिकेशन फायरवॉल) के रूप में एक निरंतर निगरानी प्रणाली प्रदान करता है, जो आपकी वेबसाइट को आर्बिट्ररी फाइल अपलोड, SQLi, XSS, CSRF, बैड बॉट्स, और 100+ अन्य साइबर खतरों से बचाता है।
अभी एस्ट्रा डेमो लें!
