CVE-2026-1357 -- WPvivid RCE

WPvivid Backup & Migration में अप्रमाणित रिमोट कोड निष्पादन (RCE)

800%2C000-brightgreen?style=for-the-badge" alt="Installs">

800,000–900,000+ वर्डप्रेस साइटों को प्रभावित करने वाली गंभीर खामी
अप्रमाणित मनमाना PHP अपलोड → पूर्ण सर्वर समझौता

---

🌩️ अवलोकन

CVE-2026-1357 (CVSS 9.8 – गंभीर) माइग्रेशन, बैकअप, स्टेजिंग – WPvivid Backup & Migration प्लगइन (≤ 0.9.123) को प्रभावित करता है।

• प्लगइन → WPvivid Backup & Migration
• प्रभावित संस्करण → ≤ 0.9.123
• पैच किया गया संस्करण → 0.9.124 (लगभग जनवरी 28, 2026 को जारी)
• आक्रमण वेक्टर → नेटवर्क
• जटिलता → निम्न
• आवश्यक विशेषाधिकार → कोई नहीं
• उपयोगकर्ता इंटरैक्शन → कोई नहीं
• प्रभाव → रिमोट कोड निष्पादन (उच्च गोपनीयता, अखंडता, उपलब्धता प्रभाव)

यह कमजोरी प्लगइन की वैकल्पिक "दूसरी साइट से बैकअप प्राप्त करें" सुविधा (via wpvivid_action=send_to_site) में मौजूद है। सक्षम होने पर, एक अप्रमाणित हमलावर मनमाना फ़ाइलें — सबसे खतरनाक रूप से PHP वेबशेल — वेब-सुलभ स्थानों जैसे /wp-content/uploads/ पर अपलोड कर सकता है।

🛠️ मूल कारण (श्रृंखलाबद्ध कमजोरियाँ)

→ हमलावर नल कुंजी से एन्क्रिप्टेड पेलोड तैयार करता है → "प्रमाणीकरण" को बायपास करता है → किसी भी लिखने योग्य स्थान पर .php फ़ाइल लिखता है।

🔥 प्रभाव

• अप्रमाणित वेब सर्वर उपयोगकर्ता (आमतौर पर www-data) के रूप में रिमोट कोड निष्पादन
• पूर्ण साइट समझौता: बैकडोर, डेटा निष्कासन, रैनसमवेयर, विरूपण
• प्रकटीकरण के तुरंत बाद सार्वजनिक PoCs सामने आए (फरवरी 2026)
• शोषण में आसानी और बड़े स्थापना आधार के कारण उच्च वास्तविक दुनिया जोखिम

नोट: शोषण के लिए "बैकअप प्राप्त करें" सुविधा सक्षम होना आवश्यक है (गैर-डिफ़ॉल्ट) और एक वैध/गैर-समाप्त API टोकन (अधिकतम 24 घंटे की आयु) आवश्यक है।

📅 समयरेखा

🛡️ शमन और सख्तीकरण

तत्काल कार्रवाई
WPvivid Backup & Migration ≥ 0.9.124 में अपग्रेड करें (सुधार: उचित डिक्रिप्शन विफलता हैंडलिंग, फ़ाइलनाम सैनिटाइजेशन, फ़ाइल प्रकार प्रतिबंध)।

अस्थायी कार्य-विकल्प (यदि अपग्रेड में देरी हो):

• प्लगइन सेटिंग्स में "दूसरी साइट से बैकअप प्राप्त करें" अक्षम करें
• यदि आवश्यक नहीं है तो प्लगइन को निष्क्रिय/हटा दें
• action=wpvivid_send_to_site के साथ /wp-admin/admin-ajax.php POST को ब्लॉक करें (WAF / .htaccess के माध्यम से)

घटना के बाद की जाँच

• /wp-content/uploads/ (और अन्य लिखने योग्य निर्देशिकाओं) में संदिग्ध .php फ़ाइलों की खोज करें
• admin-ajax.php पर असामान्य POST के लिए एक्सेस लॉग की समीक्षा करें
• वेबशेल के लिए स्कैन करें, क्रेडेंशियल बदलें, यदि समझौता हुआ है तो साफ बैकअप से पुनर्स्थापित करें

सामान्य सर्वोत्तम अभ्यास

• WordPress कोर, थीम और प्लगइन को अपडेट रखें
• सुरक्षा प्लगइन (Wordfence, Sucuri, आदि) का उपयोग करें
• फ़ाइल अनुमतियों को सीमित करें; यदि उपयोग नहीं है तो XML-RPC अक्षम करें

🔗 संदर्भ

• NVD आधिकारिक प्रविष्टि

• Wordfence परामर्श (विस्तृत प्रकटीकरण)

• प्लगइन पेज

• Nuclei टेम्पलेट: projectdiscovery/nuclei-templates में आधिकारिक (v10.4.0 में जोड़ा गया)

---

_{जल्दी पैच करें • बार-बार पैच करें • सुरक्षित रहें}