WordPress Seofy Core प्लगइन <= 1.6.8 - लोकल फ़ाइल इन्क्लूज़न भेद्यता

यह भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को पढ़ने की अनुमति देती है। हमलावर संवेदनशील जानकारी जैसे कॉन्फ़िगरेशन फ़ाइलें, डेटाबेस क्रेडेंशियल या स्रोत कोड तक पहुँच सकते हैं। इसके अतिरिक्त, यदि हमलावर PHP कोड को निष्पादित करने में सक्षम है, तो वे सर्वर पर पूर्ण नियंत्रण प्राप्त कर सकते हैं। यह भेद्यता Log4Shell जैसी अन्य फ़ाइल समावेशन भेद्यताओं के समान जोखिम पैदा करती है, जहाँ हमलावर सिस्टम पर अनधिकृत पहुंच प्राप्त कर सकते हैं। संभावित प्रभाव में डेटा उल्लंघन, सिस्टम समझौता और सेवा व्यवधान शामिल हैं।

WordPress websites utilizing the Seofy Core plugin, particularly those running versions 0.0.0 through 1.6.8, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable, as are sites with legacy configurations that haven't been regularly updated.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/seofy-core/*

• generic web:

curl -I http://example.com/wp-content/plugins/seofy-core/../../../../etc/passwd

1. 2025-06-09Disclosure

   disclosure

1. आरक्षित2025-04-16
2. प्रकाशित2025-06-09
3. संशोधित2026-04-28
4. EPSS अद्यतन2026-03-23

Seofy Core को तुरंत संस्करण 1.6.11 में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को ब्लॉक करें। WAF नियमों को ../ जैसे पथ पारगमन अनुक्रमों को फ़िल्टर करने के लिए कॉन्फ़िगर करें। इसके अतिरिक्त, फ़ाइल एक्सेस अनुमतियों को सख्त करें ताकि केवल आवश्यक उपयोगकर्ताओं और प्रक्रियाओं को संवेदनशील फ़ाइलों तक पहुँच प्राप्त हो। सर्वर लॉग की नियमित रूप से निगरानी करें ताकि किसी भी असामान्य गतिविधि का पता लगाया जा सके जो इस भेद्यता के शोषण का संकेत दे सकती है।