Angripare utnyttjar en sårbarhet i Ninja Forms och en separat brist i WPC Product Bundles for WooCommerce för att kompromettera WordPress-webbplatser. Kampanjen använder skadlig JavaScript för att installera bakdörrar och skapa obehöriga administratörskonton, inklusive ett som är dolt från kontrollpanelen.
Forskare vid WordPress-säkerhetsföretaget Patchstack upptäckte attacker mot WPC Product Bundles den 4 oktober. Följande dag observerade de samma aktivitet riktad mot Ninja Forms.
Båda plugin-programmen har fått uppdateringar som åtgärdar sårbarheterna. Att installera dessa uppdateringar tar dock inte bort en infektion som redan finns på en webbplats.
Två plugin-program påverkas av lagrade XSS-sårbarheter
Attackerna utnyttjar lagrade cross-site scripting-sårbarheter med hög allvarlighetsgrad. Båda kräver en autentiserad session för att kunna utnyttjas.
Sårbarheten i Ninja Forms, som spåras som CVE-2026-94504, påverkar version 3.15.3 och tidigare. Ninja Forms tillhandahåller verktyg för att skapa anpassade formulär och har fler än 500 000 aktiva installationer.
Samtidigt påverkar CVE-2026-93836 WPC Product Bundles for WooCommerce version 8.6.6 och tidigare. Detta plugin gör det möjligt för återförsäljare att gruppera produkter i paket och används på fler än 30 000 webbplatser.
Dessa installationssiffror beskriver plugin-programmens räckvidd snarare än antalet komprometterade webbplatser. Patchstack uppger att den observerade exploateringen fortfarande är begränsad.
Skadligt innehåll utlöser åtgärder genom en administratörs session
Angriparna försöker infoga skadlig JavaScript i WooCommerce-orderdata eller inskickade Ninja Forms-formulär.
När en inloggad administratör visar det berörda innehållet körs skriptet genom administratörens autentiserade WordPress-session. Det hämtar sedan de säkerhetstokens som behövs för att utföra administrativa åtgärder.
Därefter använder nyttolasten legitima WordPress-funktioner för att installera ett skadligt plugin och skapa ett administratörskonto.
Plugin-programmet utger sig för att vara ”WP Smart Thumbnails” version 1.2.4 från ”MediaPress Labs”. Båda attackerna levererade samma JavaScript-nyttolast från en gemensam domän, vilket tyder på att samma aktör ligger bakom aktiviteten.
Angripare skapar fyra vägar tillbaka till komprometterade webbplatser
De skadliga JavaScript- och plugin-komponenterna skapar flera sätt att behålla åtkomst:
- Ett synligt obehörigt administratörskonto.
- Ett andra administratörskonto som är dolt från användarlistan i WordPress-kontrollpanelen.
- En hemlig inloggningsadress som ger åtkomst som webbplatsens äldsta befintliga administratör.
- En filhanterare som inte kräver autentisering och är tillgänglig via det skadliga plugin-programmet.
Det dolda kontot behåller fullständiga administratörsbehörigheter. Det visas dock inte i kontrollpanelens fullständiga användarlista, administratörsfilter eller visade antal användare.
Även om filhanteraren inte kan köra kommandon direkt kan angripare använda den för att placera ytterligare skadliga filer på webbplatsen.
Att ta bort huvudpluginet eliminerar inte alla bakdörrar
Att radera det falska plugin-programmet WP Smart Thumbnails innebär inte nödvändigtvis att komprometteringen upphör.
Enligt Patchstack bevarar separata hjälpprogram det dolda administratörskontot och den hemliga inloggningsmekanismen. Angriparna ger även dessa komponenter bakåtdaterade tidsstämplar för att göra dem mindre iögonfallande.
Följaktligen kan andra åtkomstvägar finnas kvar även efter att den mest synliga skadliga komponenten har tagits bort. En rutinmässig kontroll av kontrollpanelen kan också missa det dolda administratörskontot.
Korrigerade versioner åtgärdar ingångspunkterna
Patchstack rekommenderar administratörer att uppdatera Ninja Forms till version 3.15.4 eller senare. Webbplatser som använder WPC Product Bundles for WooCommerce bör installera version 8.6.7 eller senare.
Dessa versioner åtgärdar sårbarheterna som används i kampanjen. De tar dock inte bort obehöriga konton, skadliga plugin-program eller andra persistensmekanismer från en installation som redan har komprometterats.
Administratörer bör därför kontrollera berörda webbplatser efter tecken på kompromettering samtidigt som de installerar uppdateringarna. Skillnaden är viktig: patchning stänger den sårbara ingångspunkten, medan saneringen måste hantera all åtkomst som angriparna redan har etablerat.
0 svar till ”Sårbarhet i Ninja Forms utnyttjas för att installera bakdörrar i WordPress”