WordPress के लिए cms-fuer-motorrad-werkstaetten प्लगइन 1.0.0 और उससे पहले के संस्करणों में क्रॉस-साइट रिक्वेस्ट फोर्जिंग (Cross-Site Request Forgery) की भेद्यता है। यह आठ AJAX हटाने वाले हैंडलर्स: vehicles_cfmw_d_vehicle, contacts_cfmw_d_contact, suppliers_cfmw_d_supplier, receipts_cfmw_d_receipt, positions_cfmw_d_position, catalogs_cfmw_d_article, stock_cfmw_d_item, और settings_cfmw_d_catalog पर nonce सत्यापन की कमी के कारण है। इनमें से किसी भी हैंडलर check_ajax_referer() या wp_verify_nonce() को कॉल नहीं करते हैं, और न ही वे

यह CSRF भेद्यता हमलावरों को आपके WordPress वेबसाइट पर अनधिकृत क्रियाएं करने की अनुमति देती है, खासकर यदि वे प्लगइन के साथ इंटरैक्ट करते हैं। हमलावर डेटा को हटा सकते हैं, सेटिंग्स बदल सकते हैं, या अन्य संवेदनशील कार्यों को कर सकते हैं, जिससे वेबसाइट की कार्यक्षमता बाधित हो सकती है या डेटा समझौता हो सकता है। चूंकि आठ AJAX हटाने वाले हैंडलर में nonce सत्यापन का अभाव है, इसलिए हमलावर आसानी से अनधिकृत अनुरोध भेज सकते हैं। यह विशेष रूप से खतरनाक है क्योंकि यह हमलावर को बिना किसी प्रमाणीकरण के महत्वपूर्ण डेटा को हटाने की अनुमति देता है, जिससे वेबसाइट की अखंडता को खतरा होता है।

WordPress websites utilizing the cms-fuer-motorrad-werkstaetten plugin, particularly those running versions prior to the patched release, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise on one site could potentially be leveraged to attack others.

• wordpress / composer / npm:

grep -r 'vehicles_cfmw_d_vehicle|contacts_cfmw_d_contact|suppliers_cfmw_d_supplier|receipts_cfmw_d_receipt|positions_cfmw_d_position|catalogs_cfmw_d_article|stock_cfmw_d_item|settings_cfmw_d_catalog' /var/www/html/wp-content/plugins/cms-fuer-motorrad-werkstaetten/

• generic web:

curl -I https://example.com/wp-admin/admin-ajax.php?action=vehicles_cfmw_d_vehicle | grep -i '200 ok'

1. 2026-04-17Disclosure

   disclosure

1. आरक्षित2026-04-16
2. प्रकाशित2026-04-17
3. संशोधित2026-04-22
4. EPSS अद्यतन2026-04-24

इस भेद्यता को कम करने के लिए, सबसे पहले cms-fuer-motorrad-werkstaetten प्लगइन को नवीनतम संस्करण में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें जो CSRF हमलों को रोक सकता है। WAF नियमों को इस तरह कॉन्फ़िगर करें कि सभी AJAX अनुरोधों को nonce सत्यापन के साथ सत्यापित किया जाए। इसके अतिरिक्त, सुनिश्चित करें कि सभी संवेदनशील क्रियाओं के लिए उचित क्षमता जांच लागू की गई है। प्लगइन को अपडेट करने के बाद, जांचें कि सभी AJAX हैंडलर nonce सत्यापन का उपयोग कर रहे हैं और वर्तमान उपयोगकर्ता की क्षमताओं की जांच कर रहे हैं।