valtersit/wordpress-cve-scannerWordPress core, themes और plugins को command line से ज्ञात CVEs के लिए स्कैन करें। Open source, auditable, privacy-first — ValtersIT CVE API द्वारा संचालित।
कमांड लाइन से अपने WordPress core, थीम्स और प्लगइन्स को ज्ञात CVEs के लिए स्कैन करें। ओपन सोर्स, ऑडिट-योग्य, प्राइवेसी-फर्स्ट — ValtersIT CVE API द्वारा संचालित।
ValtersIT प्लेटफ़ॉर्म का हिस्सा — CVE और Threat-IP डेटा जिसे आप क्वेरी कर सकते हैं या स्वयं चला सकते हैं। API और स्कैनर दोनों देखें: https://www.valtersit.com/platform/ स्कैनर प्लान और मूल्य निर्धारण: https://www.valtersit.com/cve/pricing/#scanners
जिस मशीन पर आप इसे चलाते हैं, उस पर WordPress core संस्करण, प्रत्येक इंस्टॉल की गई थीम, और प्रत्येक इंस्टॉल किए गए प्लगइन (सटीक संस्करणों के साथ) का पता लगाता है। यदि WP-CLI उपलब्ध है तो यह यह भी रिपोर्ट करता है कि कौन सी थीम सक्रिय है और कौन से प्लगइन्स सक्रिय हैं बनाम केवल इंस्टॉल किए गए हैं; अन्यथा यह डिस्क पर जो कुछ भी देख सकता है उसे सूचीबद्ध करता है। यह केवल स्थानीय फ़ाइलसिस्टम पर भौतिक रूप से मौजूद WordPress इंस्टॉलेशन को ही स्कैन करता है — इसे कोई URL दें तो यह चलने से इंकार कर देता है। फिर यह उस कंपोनेंट सूची को ValtersIT API को सबमिट करता है और मेल खाने वाले CVEs की रिपोर्ट करता है।
wordpress-core 6.7.1, WordPress Plugin akismet 5.3.3), साथ ही एक स्थानीय रूप से उत्पन्न रैंडम
पहचानकर्ता ताकि एक ही इंस्टॉल के बार-बार किए गए स्कैन को एक ही सिस्टम के रूप में पहचाना जा सके।name + version (+ वह रैंडम पहचानकर्ता) के अलावा कुछ भी इस स्क्रिप्ट से बाहर नहीं जाता।wp CLI को शेल आउट करता है — यह कभी wp-config.php नहीं खोलता या स्वयं MySQL से कनेक्ट नहीं करता), कोई फ़ाइल अपलोड नहीं, स्वयं एक स्कैन सबमिशन कॉल के अलावा कोई बैकग्राउंड फोन-होम नहीं।valtersit-wp-scan.py और valtersit_client.py पढ़ें; इसके अलावा कुछ नहीं चल रहा है।रिपॉज़िटरी क्लोन करें:
# GitHub
git clone https://github.com/hugovalters/wordpress-cve-scanner
cd wordpress-cve-scanner
# GitLab
git clone https://gitlab.com/valtersit/wordpress-cve-scanner
cd wordpress-cve-scanner
या, एक-लाइनर (git की आवश्यकता नहीं):
# GitHub
mkdir -p wordpress-cve-scanner && cd wordpress-cve-scanner
curl -fsSLO https://raw.githubusercontent.com/hugovalters/wordpress-cve-scanner/main/valtersit-wp-scan.py
curl -fsSLO https://raw.githubusercontent.com/hugovalters/wordpress-cve-scanner/main/valtersit_client.py
# GitLab
mkdir -p wordpress-cve-scanner && cd wordpress-cve-scanner
curl -fsSLO https://gitlab.com/valtersit/wordpress-cve-scanner/-/raw/main/valtersit-wp-scan.py
curl -fsSLO https://gitlab.com/valtersit/wordpress-cve-scanner/-/raw/main/valtersit_client.py
अपनी API कुंजी सेट करें — दोनों में से कोई भी तरीका काम करता है:
# Method 1: environment variable (recommended)
export VALTERSIT_API_KEY="vit_v1_your_key_here"
# Method 2: edit one line directly in valtersit_client.py
# API_KEY = "vit_v1_your_key_here"
valtersit.com/cve/pricing पर एक कुंजी प्राप्त करें।
इसे चलाएँ:
python3 valtersit-wp-scan.py --path /var/www/html
# or, if run from inside the WordPress root, --path can be omitted
इसके लिए केवल एक सामान्य Python 3 इंटरप्रेटर (3.7+) आवश्यक है। कोई pip install नहीं।
ValtersIT WordPress Scanner - target: /var/www/html
Detection method: WP-CLI (active/inactive known)
==============================================================================
WORDPRESS CORE
==============================================================================
Component Version
-------------------------------------
wordpress-core 6.7.1
1 item(s) detected. No IP address, hostname, MAC address, file
contents, or credentials were read or transmitted by this scan.
==============================================================================
==============================================================================
ACTIVE / INSTALLED THEMES (2)
==============================================================================
Slug Version Status
--------------------------------------------------------
twentytwentyfour 1.2 active
twentytwentythree 1.4 inactive
...
==============================================================================
INSTALLED PLUGINS (14)
==============================================================================
Slug Version Status
------------------------------------------------------------
akismet 5.3.3 active
woocommerce 9.4.1 active
...
[+] Scan submitted. 17 component(s) sent for matching.
{
"matched_cves": 2,
"results": [
{"slug": "woocommerce", "version": "9.4.1", "cve_id": "CVE-2026-31842", "cvss": 8.1, "patched_in": "9.4.3"},
{"slug": "akismet", "version": "5.3.3", "cve_id": "CVE-2025-90210", "cvss": 5.4, "patched_in": "5.3.4"}
]
}
आगे क्या करें: पूर्ण विवरण (CVSS, EPSS, exploit उपलब्धता, patch मार्गदर्शन) के लिए ऊपर दिए गए किसी भी cve_id को https://www.valtersit.com/cve/CVE-XXXX-XXXXX/ के साथ क्रॉस-रेफ़रेंस करें, इससे पहले कि आप तय करें कि पहले क्या अपडेट करना है। जिस भी चीज़ का patched_in संस्करण इंस्टॉल किए गए संस्करण से नया है, वह आपकी प्राथमिकता सूची है।
Cron, प्रतिदिन 04:00 बजे, गैर-इंटरैक्टिव (इसके लिए आवश्यक है कि आपने पहले एक बार इंटरैक्टिव रूप से authorised-use प्रॉम्प्ट की पुष्टि की हो):
0 4 * * * cd /opt/wordpress-cve-scanner && VALTERSIT_API_KEY=vit_v1_xxx /usr/bin/python3 valtersit-wp-scan.py --path /var/www/html --yes >> /var/log/valtersit-wp-scan.log 2>&1
एक-पंक्ति:
VALTERSIT_API_KEY=vit_v1_xxx python3 valtersit-wp-scan.py --path /var/www/html --yes
स्वच्छ नई प्रणाली: Python 3 इंस्टॉल करें (लगभग हर Linux वितरण पर डिफ़ॉल्ट रूप से मौजूद होता है) और, वैकल्पिक रूप से, सक्रिय/निष्क्रिय प्लगइन और थीम स्थिति के लिए WP-CLI। इस रेपो को क्लोन करें, VALTERSIT_API_KEY सेट करें, अधिकृत उपयोग की पुष्टि के लिए एक बार इंटरैक्टिव रूप से चलाएँ, फिर ऊपर दी गई cron लाइन जोड़ें।
मौजूदा प्रोडक्शन प्रणाली: WordPress इंस्टॉल पर स्वयं कुछ भी बदलने की आवश्यकता नहीं है — यह टूल केवल पढ़ता है, यह कभी wp-content में नहीं लिखता, कभी डेटाबेस को नहीं छूता, और कभी कुछ भी पुनः आरंभ नहीं करता। दोनों फ़ाइलों को कहीं भी उस उपयोगकर्ता के लिए पठनीय स्थान पर रखें जो इसे चलाता है (कम-विशेषाधिकार वाला उपयोगकर्ता पर्याप्त है; इसे www-data या root होने की आवश्यकता नहीं है, केवल WordPress निर्देशिका तक पढ़ने की पहुँच चाहिए), API कुंजी export करें, और इसे शेड्यूल करने से पहले एक बार हाथ से चलाएँ।
इस टूल को केवल उन WordPress इंस्टॉल के विरुद्ध चलाएँ जिनके आप स्वामी हैं, या जिनके लिए आपके पास मूल्यांकन करने की स्पष्ट लिखित अनुमति है। ठीक इसी कारण से यह टूल जानबूझकर स्थानीय फ़ाइलसिस्टम पथ के अलावा किसी अन्य लक्ष्य को अस्वीकार करता है — इसे नेटवर्क पर किसी तृतीय-पक्ष साइट की ओर इंगित नहीं किया जा सकता।
अपने पहले स्कैन से पहले, यह टूल ठीक यही दिखाता है और जारी रखने के लिए आपको YES टाइप करने की आवश्यकता होती है — कोई पुष्टि नहीं, कोई स्कैन नहीं:
------------------------------------------------------------------------------
ValtersIT Scanner — Authorised Use Confirmation
------------------------------------------------------------------------------
Run this tool ONLY against systems you own, or for which you have explicit
written authorisation to assess.
This scan sends only component name + version (plus a random local
identifier) to the ValtersIT API — no IP address, hostname, or file
contents. See the Privacy Policy: https://www.valtersit.com/privacy