WordPress WpEvently प्लगइन <= 4.2.9 - PHP ऑब्जेक्ट इंजेक्शन (PHP Object Injection) भेद्यता

यह भेद्यता हमलावरों को सर्वर पर संग्रहीत संवेदनशील फ़ाइलों तक अनधिकृत पहुँच प्राप्त करने की अनुमति देती है। हमलावर कॉन्फ़िगरेशन फ़ाइलों, डेटाबेस क्रेडेंशियल्स या अन्य संवेदनशील जानकारी को पढ़ सकते हैं। इस जानकारी का उपयोग सर्वर पर नियंत्रण हासिल करने, डेटा चोरी करने या अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए किया जा सकता है। पथ पारगमन भेद्यता के कारण, हमलावर सर्वर के फ़ाइल सिस्टम में कहीं भी फ़ाइलों को शामिल करने में सक्षम हो सकते हैं, जिससे संभावित रूप से सिस्टम की सुरक्षा से समझौता हो सकता है। यह भेद्यता Log4Shell जैसे अन्य फ़ाइल समावेशन भेद्यताओं के समान जोखिम पैदा करती है, लेकिन इसका दायरा विशिष्ट रूप से WpEvently प्लगइन तक सीमित है।

Websites using the WpEvently plugin, particularly those running older versions (0.0.0–4.2.9), are at risk. Shared hosting environments are particularly vulnerable as they often have limited access controls and a higher concentration of vulnerable plugins.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/wp-evently/

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/wp-evently/../../../../etc/passwd

1. 2025-03-27Disclosure

   disclosure

1. आरक्षित2025-03-26
2. प्रकाशित2025-03-27
3. संशोधित2026-04-28
4. EPSS अद्यतन2026-03-23

CVE-2025-30895 को कम करने के लिए, WpEvently प्लगइन को तुरंत संस्करण 4.2.10 या उससे ऊपर में अपडेट करें। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें जो पथ पारगमन हमलों को ब्लॉक कर सके। WAF नियमों को इस तरह कॉन्फ़िगर करें कि वे ../ जैसे पथों को फ़िल्टर करें। इसके अतिरिक्त, प्लगइन फ़ाइलों तक पहुँच को सीमित करने के लिए वर्डप्रेस फ़ाइल अनुमतियों को सख्त करें। नियमित रूप से वर्डप्रेस और प्लगइन्स को अपडेट करना महत्वपूर्ण है ताकि ज्ञात भेद्यताओं से बचा जा सके।