WordPress प्लगइन की कमज़ोरी जाँचें: WP-CLI, WPScan और कमज़ोरी डेटाबेस

यह लेख जापानी मूल लेख का स्थानीयकृत संस्करण है। जापानी मूल लेख पढ़ें

प्लगइन की कमज़ोरी सार्वजनिक होने के बाद हमले शुरू होने में कभी-कभी बहुत कम समय लगता है। इसलिए बुनियादी तरीका यह है कि जो प्लगइन और वर्शन इस्तेमाल हो रहे हैं उन्हें जानें, उन्हें ज्ञात कमज़ोरियों से मिलाएँ, और सुधारा हुआ वर्शन हो तो अपडेट करें, और यह चक्र नियमित रूप से चलाएँ। इस लेख में क्रम से बताया गया है: WP-CLI से वर्शन देखना, WPScan से मिलान, कमज़ोरी डेटाबेस पढ़ना, छेड़छाड़ की जाँच, और कमज़ोरी मिलने पर क्या करें। कमांड और क़ीमत की शर्तें नवंबर 2026 में हर आधिकारिक दस्तावेज़ से जाँची गई जानकारी हैं।

1. इस्तेमाल हो रहे प्लगइन और उनके वर्शन की सूची बनाएँ

पहले यह जानें कि कौन-सा प्लगइन किस वर्शन में इंस्टॉल है। एडमिन स्क्रीन के “प्लगइन → इंस्टॉल किए गए प्लगइन” (Plugins → Installed Plugins) में भी यह दिखता है, लेकिन WP-CLI से सूची सहेजी जा सकती है।

# नाम, वर्शन, सक्रिय/निष्क्रिय और अपडेट है या नहीं, दिखाएँ
wp plugin list --fields=name,version,status,update

# सिर्फ़ वे दिखाएँ जिनका अपडेट उपलब्ध है
wp plugin list --update=available

# रिकॉर्ड के लिए JSON में सहेजें
wp plugin list --fields=name,version,status --format=json > plugins.json

निष्क्रिय किए गए प्लगइन भी सूची में आते हैं। निष्क्रिय होने पर भी उनकी फ़ाइलें सर्वर पर रहती हैं और कमज़ोरी वाली फ़ाइल तक सीधे पहुँचा जा सकता है, इसलिए जो इस्तेमाल में नहीं हैं उन्हें हटा दें। WP-CLI की बुनियादी बातें “WP-CLI से प्लगइन प्रबंधित करने का तरीका” में बताई गई हैं।

2. WPScan से ज्ञात कमज़ोरियों से मिलान करें

WPScan WordPress साइट को बाहर से जाँचने वाला कमांड-लाइन टूल है। कमज़ोरियों की जानकारी वह WPScan के API से लेता है, इसलिए wpscan.com पर खाता बनाकर API टोकन जारी करके इस्तेमाल करना होता है।

WPScan के क़ीमत वाले पेज के अनुसार मुफ़्त प्लान सिर्फ़ गैर-व्यावसायिक उपयोग के लिए है और API कॉल दिन में 25 तक हैं। कारोबार की साइट पर इस्तेमाल करना हो तो सशुल्क लाइसेंस चाहिए। API टोकन के बिना भी यह चलता है, पर तब कमज़ोरियों की जानकारी नहीं दिखती।

# इंस्टॉल (Ruby के gem से)
gem install wpscan

# Docker में इस्तेमाल करना हो तो
docker pull wpscanteam/wpscan

# कमज़ोरी रिपोर्ट हुए प्लगइन जाँचें
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp

# पहचान का तरीका passive और aggressive दोनों रखें
wpscan --url https://example.com --api-token YOUR_API_TOKEN -e vp --plugins-detection mixed

-e के मुख्य मान ये हैं।

प्लगइन की पहचान मानक रूप से passive होती है, यानी पेज के HTML आदि से पढ़ी जाती है। जिन प्लगइन का निशान HTML में नहीं आता वे नहीं मिल पाते, इसलिए aggressive या mixed देने पर पहचान बढ़ती है, लेकिन अनुरोधों की संख्या भी बढ़ती है।

WPScan से सिर्फ़ वही साइट जाँचें जिन्हें आप ख़ुद प्रबंधित करते हैं या जिनकी अनुमति आपके पास है। इस्तेमाल का विवरण “WPScan से साइट की कमज़ोरियाँ जाँचना” में भी देखें।

3. कमज़ोरी डेटाबेस में ब्योरा पक्का करें

WPScan के नतीजों में या सुरक्षा समाचारों में जिन प्लगइन का नाम आया हो, उनका ब्योरा इन डेटाबेस में देखें।

• WPScan Vulnerability Database (wpscan.com)
• Wordfence Intelligence (wordfence.com)
• Patchstack Database (patchstack.com)
• NVD (nvd.nist.gov, CVE नंबर से खोजें)

देखने की मदें ये हैं।

जिनका दुरुपयोग बिना लॉगिन के हो सकता है और जिनकी गंभीरता ज़्यादा है, उन्हें पहले संभालें। जिनका दुरुपयोग सब्सक्राइबर की अनुमति से हो सकता है, उन्हें उन साइटों पर जल्दी निपटाएँ जो उपयोगकर्ता पंजीकरण लेती हैं (सदस्यता साइट, शॉप आदि)।

4. जाँचें कि फ़ाइलों से छेड़छाड़ तो नहीं हुई

अगर कमज़ोरी के दुरुपयोग की आशंका हो, तो जाँचें कि फ़ाइलें वितरण के समय जैसी ही हैं। WP-CLI का verify-checksums फ़ाइलों को WordPress.org के सार्वजनिक चेकसम से मिलाता है।

# सभी प्लगइन की जाँच करें
wp plugin verify-checksums --all

# सिर्फ़ किसी ख़ास प्लगइन की जाँच करें
wp plugin verify-checksums contact-form-7

# WordPress कोर की फ़ाइलों की जाँच करें
wp core verify-checksums

कोई समस्या न हो तो Success: Verified 8 of 8 plugins. जैसा संदेश दिखता है। जोड़ी गई या अलग सामग्री वाली फ़ाइलें हों तो उनकी सूची दिखाई जाती है।

WordPress.org पर वितरित न होने वाले सशुल्क प्लगइन के चेकसम नहीं होते, इसलिए इस तरीके से उनकी जाँच नहीं हो सकती। उस स्थिति में वितरक से उसी वर्शन को डाउनलोड करके फ़ाइलें मिलाएँ।

5. कमज़ोरी मिलने पर क्या करें

# सुधारा वर्शन हो तो: अपडेट करें
wp plugin update contact-form-7

# सुधारा वर्शन न हो तो: निष्क्रिय करें, इस्तेमाल न हो तो हटा दें
wp plugin deactivate vulnerable-plugin
wp plugin delete vulnerable-plugin

# एक साथ अपडेट करने से पहले देखें कि क्या-क्या अपडेट होगा
wp plugin update --all --dry-run

vulnerable-plugin एक उदाहरण है। इसे असली स्लग (wp plugin list के name कॉलम) से बदलें।

• अपडेट से पहले बैकअप लें और अपडेट के बाद मुख्य स्क्रीन (संपर्क फ़ॉर्म, भुगतान आदि) चलती हैं या नहीं, यह जाँचें।
• जिन प्लगइन का सुधारा वर्शन नहीं आता और विकास रुक गया है, उनकी जगह उसी काम के दूसरे प्लगइन पर जाने पर विचार करें। जिस प्लगइन का वितरण WordPress.org पर बंद कर दिया गया हो, उसके पेज पर रोक का संकेत दिखता है।
• छेड़छाड़ के निशान हों तो सिर्फ़ अपडेट काफ़ी नहीं। एडमिन यूज़र जुड़ा है या नहीं, uploads में रखी PHP फ़ाइलें और wp-config.php में बदलाव भी जाँचें, और ज़रूरत हो तो बैकअप से वापस लौटें।

6. जाँच को आदत बनाएँ

• एडमिन स्क्रीन के “प्लगइन” में हर प्लगइन के लिए स्वचालित अपडेट चालू किया जा सकता है (WordPress 5.5 से)। पहले उन प्लगइन में चालू करें जिनके अपडेट से डिस्प्ले बिगड़ने की चिंता कम हो। विस्तार के लिए “प्लगइन का स्वचालित अपडेट सेट करने का तरीका” देखें।
• WPScan को cron से नियमित चलाना हो तो मुफ़्त सीमा (दिन में 25 बार) और गैर-व्यावसायिक शर्त का ध्यान रखें।
• सिक्योरिटी प्लगइन Wordfence भी स्कैन में अपडेट वाले प्लगइन आदि की सूचना देता है। इस्तेमाल का तरीका “Wordfence से साइट स्कैन करना” में बताया गया है।

सारांश

प्लगइन की कमज़ोरी की जाँच इस क्रम में चलती है: सूची निकालना (wp plugin list), ज्ञात कमज़ोरियों से मिलान (WPScan या कमज़ोरी डेटाबेस), छेड़छाड़ की जाँच (wp plugin verify-checksums), और अपडेट या हटाकर निपटना। इस्तेमाल न होने वाले प्लगइन को हटा देना सबसे कम झंझट वाला उपाय है।

WordPress के बारे में सवाल हैं? इस साइट के प्रकाशक जापान में हैं और जापानी में जवाब देते हैं। संपर्क (जापानी)