WordPress VR Calendar प्लगइन <= 2.4.0 - लोकल फ़ाइल इन्क्लूज़न (Local File Inclusion) भेद्यता

यह भेद्यता हमलावरों को सर्वर पर संग्रहीत संवेदनशील फ़ाइलों को पढ़ने की अनुमति देती है, जिसमें कॉन्फ़िगरेशन फ़ाइलें, स्रोत कोड और अन्य गोपनीय डेटा शामिल हो सकते हैं। हमलावर इस भेद्यता का उपयोग सर्वर पर कोड निष्पादित करने या अन्य दुर्भावनापूर्ण गतिविधियाँ करने के लिए भी कर सकते हैं। पथ पारगमन भेद्यता के कारण, हमलावर आसानी से सिस्टम के अन्य हिस्सों तक पहुँच प्राप्त कर सकते हैं, जिससे संभावित रूप से डेटा उल्लंघन और सिस्टम समझौता हो सकता है।

Websites utilizing the VR Calendar plugin, particularly those running older versions (≤2.4.0), are at significant risk. Shared hosting environments are especially vulnerable, as they often have limited control over server configurations and plugin security. WordPress sites with weak file permission settings or inadequate input validation are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/vr-calendar/*

• wordpress / composer / npm:

wp plugin list --status=active | grep vr-calendar

• wordpress / composer / npm:

wp plugin update vr-calendar --all

1. 2024-10-05Disclosure

   disclosure

1. आरक्षित2024-08-18
2. प्रकाशित2024-10-05
3. संशोधित2024-10-07
4. EPSS अद्यतन2026-04-02

सबसे पहले, VR Calendar को संस्करण 2.4.1 में तुरंत अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक करने का प्रयास करें। WAF नियमों को उन अनुरोधों को फ़िल्टर करने के लिए कॉन्फ़िगर करें जिनमें पथ पारगमन पैटर्न शामिल हैं, जैसे कि '..' अनुक्रम। इसके अतिरिक्त, सुनिश्चित करें कि VR Calendar फ़ाइलों तक पहुँच को केवल अधिकृत उपयोगकर्ताओं तक ही सीमित किया गया है। फ़ाइल अनुमतियों को सख्त करें और अनावश्यक फ़ाइलों को हटा दें।