वर्डप्रेस के लिए प्रिजमेटिक प्लगइन 'प्रिजमेटिक_एन्कोडेड' छद्म-शॉर्टकोड के माध्यम से संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (Stored Cross-Site Scripting) के लिए असुरक्षित है, सभी संस्करणों में 3.7.3 सहित। यह अपर्याप्त इनपुट सैनिटाइजेशन और 'प्रिजमेटिक_डीकोड' फ़ंक्शन के भीतर उपयोगकर्ता-प्रदत्त विशेषताओं पर आउटपुट एस्केपिंग के कारण है। यह अनाधिकृत हमलावरों को एक टिप्पणी सबमिट करके एक इंजेक्टेड पृष्ठ तक पहुंचने पर निष्पादित होने वाले पृष्ठों में मनमाना वेब स्क्रिप्ट इंजेक्ट करने की अनुमति देता है जिसमें एक तैयार 'प्रिजमेटिक_एन्कोडेड' छद्म-शॉर्टकोड शामिल है।

यह XSS भेद्यता हमलावरों को वेबसाइट पर मनमाना जावास्क्रिप्ट कोड इंजेक्ट करने की अनुमति देती है। एक सफल शोषण के परिणामस्वरूप, हमलावर उपयोगकर्ता सत्र कुकीज़ चुरा सकते हैं, उपयोगकर्ताओं को फ़िशिंग साइटों पर रीडायरेक्ट कर सकते हैं, या वेबसाइट की सामग्री को बदल सकते हैं। चूंकि भेद्यता संग्रहीत है, इसलिए दुर्भावनापूर्ण स्क्रिप्ट को वेबसाइट पर स्थायी रूप से संग्रहीत किया जा सकता है, जिससे कई उपयोगकर्ताओं को जोखिम होता है जो प्रभावित पृष्ठों को देखते हैं। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह प्रमाणीकरण की आवश्यकता के बिना शोषण किया जा सकता है, जिससे किसी भी अनधिकृत उपयोगकर्ता के लिए वेबसाइट को समझौता करना संभव हो जाता है।

Websites using the Prismatic WordPress plugin, especially those with public comment sections or forums, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources are particularly vulnerable, as a compromise on one site could potentially impact others.

• wordpress / composer / npm:

grep -r 'prismatic_encoded' /var/www/html/wp-content/plugins/prismatic/

• wordpress / composer / npm:

wp plugin list | grep prismatic

• wordpress / composer / npm:

wp plugin update prismatic

• generic web: Inspect comment fields for suspicious shortcode usage, particularly those containing encoded characters.

1. 2026-04-16Disclosure

   disclosure

1. आरक्षित2026-03-10
2. प्रकाशित2026-04-16
3. संशोधित2026-04-22
4. EPSS अद्यतन2026-04-23

इस भेद्यता को कम करने के लिए, Prismatic प्लगइन को तुरंत संस्करण 3.7.4 में अपडेट करना महत्वपूर्ण है। यदि प्लगइन को तुरंत अपडेट करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके 'prismatic_encoded' शॉर्टकोड के उपयोग को ब्लॉक करने पर विचार करें। इसके अतिरिक्त, वेबसाइट के सभी इनपुट फ़ील्ड को ठीक से सैनिटाइज़ और एस्केप करना सुनिश्चित करें ताकि दुर्भावनापूर्ण स्क्रिप्ट इंजेक्शन को रोका जा सके। प्लगइन अपडेट के बाद, यह सुनिश्चित करने के लिए वेबसाइट का परीक्षण करें कि भेद्यता का समाधान हो गया है और कोई नई समस्या नहीं आई है।

सक्रिय इंस्टॉलेशन

2Kआला

प्लगइन रेटिंग