WordPress HTML5 Radio Player - WPBakery Page Builder Addon प्लगइन <= 2.5 - मनमाना फ़ाइल डाउनलोड भेद्यता

यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों तक पहुँचने की अनुमति देती है। हमलावर वेब रूट के बाहर स्थित फ़ाइलों को भी पढ़ सकते हैं, जिससे संवेदनशील डेटा जैसे कॉन्फ़िगरेशन फ़ाइलें, स्रोत कोड या अन्य गोपनीय जानकारी का खुलासा हो सकता है। यदि हमलावर वेब सर्वर पर लिखने की अनुमति प्राप्त कर लेता है, तो वह दुर्भावनापूर्ण कोड अपलोड कर सकता है या मौजूदा फ़ाइलों को संशोधित कर सकता है, जिससे सिस्टम पर पूर्ण नियंत्रण प्राप्त हो सकता है। यह भेद्यता विशेष रूप से साझा होस्टिंग वातावरण में गंभीर है, जहाँ कई वेबसाइटें एक ही सर्वर पर होस्ट की जाती हैं, क्योंकि एक वेबसाइट पर भेद्यता का फायदा उठाकर अन्य वेबसाइटों पर भी हमला किया जा सकता है।

WordPress websites utilizing the HTML5 Radio Player - WPBakery Page Builder Addon, particularly those running older versions (0.0.0–2.5), are at risk. Shared hosting environments where users have limited control over plugin installations are also particularly vulnerable.

• wordpress / composer / npm:

grep -r '../' /var/www/html/wp-content/plugins/lbg-cleverbakery/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/lbg-cleverbakery/../../../../etc/passwd' # Check for file disclosure

1. 2025-07-16Disclosure

   disclosure

1. आरक्षित2025-03-26
2. प्रकाशित2025-07-16
3. संशोधित2026-04-28
4. EPSS अद्यतन2026-03-23

सबसे प्रभावी उपाय HTML5 रेडियो प्लेयर - WPBakery पेज बिल्डर एडऑन को संस्करण 2.5.4 या बाद के संस्करण में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को कम किया जा सकता है। WAF को उन अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए जिनमें पथ पारगमन पैटर्न शामिल हैं, जैसे कि '..' अनुक्रम। इसके अतिरिक्त, फ़ाइल एक्सेस अनुमतियों को सख्त किया जाना चाहिए ताकि वेब सर्वर को केवल उन फ़ाइलों तक पहुँचने की अनुमति हो जिनकी उसे आवश्यकता है। फ़ाइल एक्सेस को सीमित करने के लिए उचित फ़ाइल सिस्टम अनुमतियों और एक्सेस नियंत्रण सूचियों (ACL) का उपयोग करें।