WordPress XLSXviewer प्लगइन <= 2.1.1 - मनमाना फ़ाइल विलोपन भेद्यता

यह भेद्यता हमलावरों को XLSXviewer के माध्यम से सिस्टम पर मनमाने ढंग से फ़ाइलों तक पहुँचने की अनुमति देती है। हमलावर संवेदनशील डेटा तक पहुँच सकते हैं, सिस्टम फ़ाइलों को संशोधित कर सकते हैं, या यहां तक ​​कि सिस्टम पर नियंत्रण भी प्राप्त कर सकते हैं। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह वर्डप्रेस प्लगइन के माध्यम से शोषण किया जा सकता है, जिससे हमलावर आसानी से वेबसाइटों को लक्षित कर सकते हैं। इस तरह की भेद्यता का उपयोग संवेदनशील जानकारी को उजागर करने, दुर्भावनापूर्ण कोड को निष्पादित करने या सिस्टम की अखंडता से समझौता करने के लिए किया जा सकता है।

WordPress websites utilizing the XLSXviewer plugin, particularly those running older, unpatched versions (0.0.0–2.1.1), are at risk. Shared hosting environments where users have limited control over plugin updates are especially vulnerable. Websites that process user-supplied data without proper sanitization are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/xlsx-viewer/

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/xlsx-viewer/../../../../etc/passwd' # Check for file access

1. 2025-01-22Disclosure

   disclosure

1. आरक्षित2025-01-16
2. प्रकाशित2025-01-22
3. संशोधित2026-04-28
4. EPSS अद्यतन2026-04-02

XLSXviewer को संस्करण 2.1.2 में अपडेट करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि अपडेट करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक किया जा सकता है। इसके अतिरिक्त, XLSXviewer के लिए फ़ाइल एक्सेस को प्रतिबंधित करने के लिए कॉन्फ़िगरेशन वर्कअराउंड का उपयोग किया जा सकता है। सुनिश्चित करें कि XLSXviewer द्वारा संसाधित फ़ाइलों के लिए उचित फ़ाइल एक्सेस प्रतिबंध लागू हैं। अपडेट के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, XLSXviewer के माध्यम से मनमानी फ़ाइलों तक पहुँचने का प्रयास करके।