WordPress Users Control प्लगइन <= 1.0.16 - लोकल फ़ाइल इन्क्लूज़न (Local File Inclusion) भेद्यता

यह भेद्यता हमलावरों को Users Control इंस्टॉलेशन निर्देशिका के बाहर स्थित फ़ाइलों तक पहुँचने की अनुमति देती है। हमलावर संवेदनशील डेटा पढ़ सकते हैं, सिस्टम कॉन्फ़िगरेशन फ़ाइलों को संशोधित कर सकते हैं, या यहां तक ​​कि दुर्भावनापूर्ण कोड निष्पादित कर सकते हैं। एक सफल शोषण से सिस्टम की सुरक्षा से समझौता हो सकता है और डेटा हानि हो सकती है। यह भेद्यता विशेष रूप से साझा होस्टिंग वातावरण में चिंताजनक है, जहाँ कई वेबसाइटें एक ही सर्वर पर होस्ट की जाती हैं, जिससे एक वेबसाइट पर शोषण अन्य वेबसाइटों को भी प्रभावित कर सकता है।

WordPress websites using the Users Control plugin, particularly those running versions prior to 1.0.17, are at risk. Shared hosting environments are especially vulnerable, as they often have limited control over server file permissions and configurations, making exploitation easier.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/users-control/

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/users-control/../../../../etc/passwd | head -n 1

1. 2024-10-05Disclosure

   disclosure

1. आरक्षित2024-08-18
2. प्रकाशित2024-10-05
3. संशोधित2024-10-08
4. EPSS अद्यतन2026-04-02

सबसे पहले, Users Control को संस्करण 1.0.17 में तुरंत अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, Users Control इंस्टॉलेशन निर्देशिका के लिए फ़ाइल सिस्टम अनुमतियों को सख्त करें, ताकि केवल आवश्यक उपयोगकर्ताओं के पास ही फ़ाइलों तक पहुँच हो। एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक करने के लिए नियम कॉन्फ़िगर करें। नियमित रूप से लॉग की निगरानी करें और किसी भी असामान्य गतिविधि के लिए जांच करें। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, फ़ाइल सिस्टम अनुमतियों और WAF नियमों की समीक्षा करें।