xmlrpc attacks blocker <= 1.0 - Unauthenticated Stored Cross-Site Scripting via 'X-Forwarded-For'

CVE-2026-2502 WordPress के 'xmlrpc attacks blocker' प्लगइन को संस्करण 1.0 तक प्रभावित करता है। यह अनधिकृत हमलावरों को 'X-Forwarded-For' HTTP हेडर के माध्यम से मनमाना जावास्क्रिप्ट कोड इंजेक्ट करने की अनुमति देता है। जब कोई व्यवस्थापक प्लगइन के डिबग लॉग पेज को देखता है तो यह कोड निष्पादित होता है। CVSS पैमाने पर इस भेद्यता की गंभीरता को 6.1 के रूप में रेट किया गया है, जो मध्यम जोखिम का संकेत देता है। XML-RPC हमलों से बचाने के लिए डिज़ाइन किया गया यह प्लगइन, 'X-Forwarded-For' हेडर में हमलावर-नियंत्रित डेटा पर अंधाधुंध भरोसा करके और इन डेटा को लॉग करते समय उचित आउटपुट एस्केप करने में विफल रहकर, एक नया आक्रमण वेक्टर पेश करता है। इससे व्यवस्थापक के संदर्भ में मनमाना कोड निष्पादित हो सकता है, जिससे संभावित रूप से वेबसाइट की सुरक्षा से समझौता हो सकता है।

1. आरक्षित2026-02-13
2. प्रकाशित2026-02-19
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-03-23

चूंकि इस भेद्यता के लिए कोई आधिकारिक पैच उपलब्ध नहीं है, इसलिए प्राथमिक शमन उपाय 'xmlrpc attacks blocker' प्लगइन का उपयोग करने से बचना है जब तक कि अपडेट किया गया संस्करण जारी नहीं हो जाता। वैकल्पिक रूप से, यदि प्लगइन आवश्यक है, तो डिबग लॉगिंग सुविधा को अक्षम करें। सर्वर लॉग की नियमित रूप से संदिग्ध गतिविधि के लिए जांच करना भी अनुशंसित है। 'X-Forwarded-For' और 'X-Real-IP' जैसे HTTP सुरक्षा हेडर को लागू करने से जोखिम को कम करने में मदद मिल सकती है, हालांकि यह भेद्यता को पूरी तरह से समाप्त नहीं करता है। अंत में, WordPress और सभी प्लगइन्स को अपडेट रखना एक मौलिक सुरक्षा अभ्यास है।