Angripere utnytter en sårbarhet i Ninja Forms og en separat feil i WPC Product Bundles for WooCommerce for å kompromittere WordPress-nettsteder. Kampanjen bruker ondsinnet JavaScript til å installere bakdører og opprette uautoriserte administratorkontoer, inkludert én som er skjult fra kontrollpanelet.
Forskere hos WordPress-sikkerhetsselskapet Patchstack oppdaget angrep mot WPC Product Bundles 4. oktober. Dagen etter observerte de den samme aktiviteten rettet mot Ninja Forms.
Begge pluginene har fått oppdateringer som retter sårbarhetene. Installering av disse oppdateringene fjerner imidlertid ikke en infeksjon som allerede finnes på et nettsted.
To plugins rammes av lagrede XSS-sårbarheter
Angrepene utnytter lagrede cross-site scripting-sårbarheter med høy alvorlighetsgrad. Begge krever en autentisert økt for å kunne utnyttes.
Sårbarheten i Ninja Forms, sporet som CVE-2026-94504, påvirker versjon 3.15.3 og tidligere. Ninja Forms tilbyr verktøy for å bygge tilpassede skjemaer og har mer enn 500 000 aktive installasjoner.
Samtidig påvirker CVE-2026-93836 WPC Product Bundles for WooCommerce versjon 8.6.6 og tidligere. Denne pluginen lar forhandlere gruppere produkter i pakker og brukes på mer enn 30 000 nettsteder.
Disse installasjonstallene beskriver pluginenes utbredelse, ikke antallet kompromitterte nettsteder. Patchstack sier at den observerte utnyttelsen fortsatt er begrenset.
Ondsinnet innhold utløser handlinger gjennom en administrators økt
Angriperne forsøker å sette inn ondsinnet JavaScript i WooCommerce-bestillingsdata eller innsendinger via Ninja Forms.
Når en innlogget administrator viser det berørte innholdet, kjører skriptet gjennom administratorens autentiserte WordPress-økt. Deretter henter det sikkerhetstokenene som kreves for å utføre administrative handlinger.
Deretter bruker nyttelasten legitime WordPress-funksjoner til å installere en ondsinnet plugin og opprette en administratorkonto.
Pluginen utgir seg for å være «WP Smart Thumbnails» versjon 1.2.4 fra «MediaPress Labs». Begge angrepene leverte den samme JavaScript-nyttelasten fra et felles domene, noe som indikerer at den samme aktøren står bak aktiviteten.
Angripere etablerer fire veier tilbake til kompromitterte nettsteder
De ondsinnede JavaScript- og plugin-komponentene oppretter flere måter å beholde tilgangen på:
- En synlig uautorisert administratorkonto.
- En annen administratorkonto som er skjult fra brukerlisten i WordPress-kontrollpanelet.
- En hemmelig innloggingsadresse som gir tilgang som nettstedets eldste eksisterende administrator.
- En filbehandler som ikke krever autentisering og er tilgjengelig gjennom den ondsinnede pluginen.
Den skjulte kontoen beholder fulle administratorrettigheter. Den vises imidlertid ikke i kontrollpanelets komplette brukerliste, administratorfilter eller viste brukertall.
Selv om filbehandleren ikke kan kjøre kommandoer direkte, kan angripere bruke den til å plassere ytterligere ondsinnede filer på nettstedet.
Fjerning av hovedpluginen eliminerer ikke alle bakdører
Å slette den falske WP Smart Thumbnails-pluginen avslutter ikke nødvendigvis kompromitteringen.
Ifølge Patchstack opprettholder separate hjelpeplugins den skjulte administratorkontoen og den hemmelige innloggingsmekanismen. Angriperne gir også disse komponentene tilbakedaterte tidsstempler for å gjøre dem mindre iøynefallende.
Dermed kan andre tilgangsveier forbli intakte selv etter at den mest synlige ondsinnede komponenten er fjernet. En rutinemessig kontroll av kontrollpanelet kan også overse den skjulte administratorkontoen.
Rettede versjoner sikrer inngangspunktene
Patchstack anbefaler administratorer å oppdatere Ninja Forms til versjon 3.15.4 eller nyere. Nettsteder som bruker WPC Product Bundles for WooCommerce, bør installere versjon 8.6.7 eller nyere.
Disse versjonene retter sårbarhetene som brukes i kampanjen. De sletter imidlertid ikke uautoriserte kontoer, ondsinnede plugins eller andre persistensmekanismer fra en installasjon som allerede er kompromittert.
Administratorer bør derfor kontrollere berørte nettsteder for tegn på kompromittering samtidig som de installerer oppdateringene. Forskjellen er viktig: oppdatering lukker det sårbare inngangspunktet, mens opprydding må håndtere eventuell tilgang angriperne allerede har etablert.
0 responses to “Sårbarhet i Ninja Forms utnyttes til å installere bakdører i WordPress”