WordPress HDForms प्लगइन <= 1.6.1 - मनमाना फ़ाइल विलोपन भेद्यता

यह भेद्यता हमलावरों को सर्वर फ़ाइल सिस्टम तक अनधिकृत पहुँच प्राप्त करने की अनुमति देती है। हमलावर संवेदनशील जानकारी, जैसे कॉन्फ़िगरेशन फ़ाइलें, स्रोत कोड या अन्य गोपनीय डेटा तक पहुँच सकते हैं। वे सर्वर पर अन्य दुर्भावनापूर्ण कोड भी अपलोड और निष्पादित कर सकते हैं, जिससे सिस्टम की सुरक्षा से समझौता हो सकता है। इस भेद्यता का उपयोग सर्वर को पूरी तरह से नियंत्रित करने के लिए किया जा सकता है।

WordPress websites utilizing the HDForms plugin, particularly those running versions 0.0.0 through 1.6.1, are at risk. Shared hosting environments are especially vulnerable, as they often have limited control over server file permissions. Sites with legacy configurations or those lacking robust input validation practices are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/hdforms/*

• generic web:

curl -I "http://your-wordpress-site.com/wp-content/plugins/hdforms/../../../../etc/passwd" # Check for file disclosure

1. 2026-01-22Disclosure

   disclosure

1. आरक्षित2025-12-24
2. प्रकाशित2026-01-22
3. संशोधित2026-04-28
4. EPSS अद्यतन2026-03-23

HDForms को संस्करण 1.6.2 में तुरंत अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें जो पथ पारगमन हमलों को ब्लॉक कर सके। फ़ाइल सिस्टम अनुमतियों को सख्त करें ताकि केवल अधिकृत उपयोगकर्ताओं के पास संवेदनशील फ़ाइलों तक पहुँच हो। इनपुट सत्यापन और आउटपुट एन्कोडिंग लागू करें ताकि पथ पारगमन हमलों को रोका जा सके।