कार डीलर ऑटोमोटिव वर्डप्रेस थीम – रिस्पॉन्सिव <= 1.6.3 - प्रमाणित (सदस्य+) मनमाना फ़ाइल विलोपन और पठन

यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को हटाने की अनुमति देती है, जिससे गंभीर परिणाम हो सकते हैं। सबसे महत्वपूर्ण रूप से, wp-config.php फ़ाइल को हटाने से हमलावर WordPress इंस्टॉलेशन पर पूर्ण नियंत्रण प्राप्त कर सकते हैं, जिससे वे मनमाना कोड निष्पादित कर सकते हैं, डेटा चोरी कर सकते हैं, या साइट को पूरी तरह से नष्ट कर सकते हैं। add_car() फ़ंक्शन के माध्यम से मनमाने फ़ाइलों को पढ़ने की क्षमता भेद्यता के प्रभाव को और बढ़ाती है। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि सब्सक्राइबर स्तर के एक्सेस वाले हमलावर भी इसका फायदा उठा सकते हैं, जिससे सुरक्षा जोखिम बढ़ जाता है।

WordPress websites using the Car Dealer Automotive WordPress Theme – Responsive are at risk. Specifically, sites running versions 1.0.0 through 1.6.3 are vulnerable. Shared hosting environments are particularly at risk, as they often have limited control over file permissions and security configurations. Sites with weak password policies or compromised user accounts are also more susceptible to exploitation.

• wordpress / composer / npm:

wp plugin list | grep 'Car Dealer Automotive WordPress Theme'

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

grep -r 'delete_post_photo' /var/www/html/wp-content/plugins/car-dealer-responsive/

• wordpress / composer / npm:

wp plugin status | grep 'Car Dealer Automotive WordPress Theme'

1. 2025-02-27Disclosure

   disclosure

1. आरक्षित2025-02-13
2. प्रकाशित2025-02-27
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने के लिए, तत्काल थीम को नवीनतम संस्करण में अपडेट करना महत्वपूर्ण है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, फ़ाइल पथ सत्यापन को मजबूत करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को लागू किया जा सकता है। इसके अतिरिक्त, deletepostphoto() और add_car() कार्यों में इनपुट को मान्य करने के लिए सर्वर-साइड फ़िल्टरिंग को लागू किया जाना चाहिए। wp-config.php फ़ाइल की अनुमतियों को भी सख्त किया जाना चाहिए ताकि केवल आवश्यक उपयोगकर्ताओं के पास ही इसकी एक्सेस हो। अपडेट के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, फ़ाइल पथ सत्यापन को मैन्युअल रूप से जांचें।