बारकोड स्कैनर (+मोबाइल ऐप) – इन्वेंट्री मैनेजर, ऑर्डर पूर्ति प्रणाली, POS (पॉइंट ऑफ़ सेल) प्लगइन वर्डप्रेस के लिए असुरक्षित टोकन-आधारित प्रमाणीकरण के माध्यम से विशेषाधिकार वृद्धि के प्रति संवेदनशील है, सभी संस्करणों में 1.11.0 तक और सहित। यह प्लगइन टोकन पैरामीटर में उपयोगकर्ता द्वारा आपूर्ति किए गए Base64-एन्कोडेड उपयोगकर्ता आईडी पर उपयोगकर्ताओं की पहचान करने के लिए भरोसा करने, 'barcodeScannerConfigs' क्रिया के माध्यम से मान्य प्रमाणीकरण टोकन लीक करने और 'setUserMeta' क्रिया पर मेटा-कुंजी प्रतिबंधों की कमी के कारण है।

यह भेद्यता हमलावरों को बिना किसी प्रमाणीकरण के व्यवस्थापक विशेषाधिकार प्राप्त करने की अनुमति देती है। हमलावर 'barcodeScannerConfigs' क्रिया के माध्यम से वैध प्रमाणीकरण टोकन लीक कर सकते हैं और 'setUserMeta' क्रिया पर मेटा-कुंजी प्रतिबंधों की कमी का फायदा उठा सकते हैं। इससे वे सिस्टम पर पूर्ण नियंत्रण प्राप्त कर सकते हैं, संवेदनशील डेटा तक पहुंच सकते हैं, और दुर्भावनापूर्ण क्रियाएं कर सकते हैं, जैसे कि डेटा को संशोधित करना या हटाना, या अन्य वेबसाइटों पर रीडायरेक्ट करना। यह भेद्यता वर्डप्रेस वेबसाइटों के लिए एक गंभीर खतरा है जो इस प्लगइन का उपयोग करते हैं।

1. आरक्षित2026-03-26
2. प्रकाशित2026-04-16
3. EPSS अद्यतन2026-04-23

इस भेद्यता को कम करने के लिए, तुरंत प्लगइन को संस्करण 1.12.0 या बाद के संस्करण में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग कर सकते हैं जो संदिग्ध टोकन अनुरोधों को ब्लॉक करता है। इसके अतिरिक्त, 'setUserMeta' क्रिया पर मेटा-कुंजी प्रतिबंधों को लागू करने पर विचार करें। प्लगइन के कॉन्फ़िगरेशन फ़ाइलों की नियमित रूप से निगरानी करें ताकि अनधिकृत परिवर्तनों का पता लगाया जा सके।

सक्रिय इंस्टॉलेशन

1Kआला

प्लगइन रेटिंग