WordPress के लिए Kubio प्लगइन 2.7.2 और उससे पहले के संस्करणों में मनमाना फ़ाइल अपलोड (Arbitrary File Upload) से असुरक्षित है। यह kubio_rest_pre_insert_import_assets() फ़ंक्शन में अपर्याप्त क्षमता जांच (capability checks) के कारण है, जो पोस्ट, पृष्ठों, टेम्पलेट्स और टेम्पलेट भागों के लिए rest_pre_insert_{post_type} फ़िल्टर से जुड़ा हुआ है। जब कोई पोस्ट REST API के माध्यम से बनाई या अपडेट की जाती है, तो Kubio 'kubio' विशेषता नेमस्पेस में URL की तलाश में ब्लॉक विशेषताओं को पार्स करता है और उन्हें importRemoteFi के माध्यम से स्वचालित रूप से आयात करता है।

CVE-2026-5427 Kubio WordPress प्लगइन में मनमाना फ़ाइल अपलोड की अनुमति देता है। यह kubiorestpreinsertimportassets() फ़ंक्शन के भीतर अपर्याप्त अनुमति जांच के कारण है, जो पोस्ट, पृष्ठों, टेम्पलेट्स और टेम्पलेट भागों के लिए restpreinsert{post_type} फ़िल्टर से जुड़ा है। एक हमलावर इस भेद्यता का उपयोग सर्वर पर दुर्भावनापूर्ण फ़ाइलें अपलोड करने के लिए कर सकता है, जिससे वेबसाइट की अखंडता और सुरक्षा से समझौता हो सकता है। फ़ाइल अपलोड से रिमोट कोड निष्पादन, महत्वपूर्ण सिस्टम फ़ाइलों का संशोधन या संवेदनशील डेटा तक अनधिकृत पहुंच हो सकती है। प्रभाव की गंभीरता उस उपयोगकर्ता की अनुमतियों पर निर्भर करती है जो कार्रवाई कर रहा है और वेब सर्वर कॉन्फ़िगरेशन।

1. आरक्षित2026-04-02
2. प्रकाशित2026-04-17
3. संशोधित2026-04-22
4. EPSS अद्यतन2026-04-24

इस भेद्यता को कम करने का समाधान Kubio प्लगइन को संस्करण 2.7.3 या उच्चतर में अपडेट करना है। इस संस्करण में आवश्यक सुधार शामिल हैं ताकि अनुमतियों को ठीक से मान्य किया जा सके और अनधिकृत फ़ाइल अपलोड को रोका जा सके। अपडेट लागू करने से पहले वेबसाइट का पूर्ण बैकअप लेना उचित है। इसके अतिरिक्त, WordPress उपयोगकर्ता अनुमतियों की समीक्षा करना और केवल उन लोगों को ही प्रशासनिक पहुंच को सीमित करना महत्वपूर्ण है जिन्हें वास्तव में इसकी आवश्यकता है। वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू करने से फ़ाइल अपलोड हमलों के खिलाफ अतिरिक्त सुरक्षा परत प्रदान की जा सकती है।

प्लगइन रेटिंग