WordPress WP Newsletter Subscription प्लगइन <= 1.1 - लोकल फ़ाइल इन्क्लूज़न (Local File Inclusion) भेद्यता

यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति देती है, जिससे संवेदनशील जानकारी उजागर हो सकती है, जैसे कि कॉन्फ़िगरेशन फ़ाइलें, डेटाबेस क्रेडेंशियल या अन्य गोपनीय डेटा। हमलावर इस भेद्यता का उपयोग सर्वर पर कोड निष्पादित करने के लिए भी कर सकते हैं, जिससे सिस्टम पर पूर्ण नियंत्रण प्राप्त हो सकता है। पथ पारगमन भेद्यता के कारण, हमलावर आसानी से सिस्टम के अन्य हिस्सों तक पहुँच सकते हैं और आगे के हमले कर सकते हैं। यह भेद्यता विशेष रूप से साझा होस्टिंग वातावरण में खतरनाक है, जहाँ एक हमलावर अन्य वेबसाइटों को भी लक्षित कर सकता है।

Websites using the WP Newsletter Subscription plugin, particularly those running older versions (≤1.1), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin configurations and security measures. Sites with weak file permissions or inadequate server-level security configurations are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/wp-newsletter-subscription/

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/wp-newsletter-subscription/../../../../etc/passwd

1. 2024-10-05Disclosure

   disclosure

1. आरक्षित2024-08-18
2. प्रकाशित2024-10-05
3. संशोधित2024-10-07
4. EPSS अद्यतन2026-04-02

सबसे पहले, WP Newsletter Subscription को संस्करण 1.1.1 में तुरंत अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, फ़ाइल सिस्टम अनुमतियों को सख्त करें ताकि हमलावर मनमाने ढंग से फ़ाइलों को पढ़ न सकें। वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक करने के लिए नियम कॉन्फ़िगर करें। सुनिश्चित करें कि WP Newsletter Subscription के लिए उपयोग किए जाने वाले सभी फ़ोल्डर और फ़ाइलें उचित रूप से सुरक्षित हैं। अपडेट के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, फ़ाइल सिस्टम अनुमतियों की जांच करें और WAF नियमों की प्रभावशीलता का परीक्षण करें।