Angribere udnytter en sårbarhed i Ninja Forms og en separat fejl i WPC Product Bundles for WooCommerce til at kompromittere WordPress-websteder. Kampagnen bruger ondsindet JavaScript til at installere bagdøre og oprette uautoriserede administratorkonti, herunder én, der er skjult fra kontrolpanelet.
Forskere hos WordPress-sikkerhedsvirksomheden Patchstack opdagede angreb mod WPC Product Bundles den 4. oktober. Den følgende dag observerede de den samme aktivitet rettet mod Ninja Forms.
Begge plugins har modtaget opdateringer, der retter sårbarhederne. Installation af disse opdateringer fjerner dog ikke en infektion, der allerede findes på et websted.
To plugins påvirkes af lagrede XSS-sårbarheder
Angrebene udnytter lagrede cross-site scripting-sårbarheder med høj alvorlighedsgrad. Begge kræver en autentificeret session for at kunne udnyttes.
Sårbarheden i Ninja Forms, der spores som CVE-2026-94504, påvirker version 3.15.3 og tidligere. Ninja Forms tilbyder værktøjer til at bygge tilpassede formularer og har mere end 500.000 aktive installationer.
Samtidig påvirker CVE-2026-93836 WPC Product Bundles for WooCommerce version 8.6.6 og tidligere. Dette plugin gør det muligt for forhandlere at gruppere produkter i pakker og bruges på mere end 30.000 websteder.
Disse installationstal beskriver pluginernes udbredelse snarere end antallet af kompromitterede websteder. Patchstack siger, at den observerede udnyttelse fortsat er begrænset.
Ondsindet indhold udløser handlinger gennem en administrators session
Angriberne forsøger at indsætte ondsindet JavaScript i WooCommerce-ordredata eller indsendelser via Ninja Forms.
Når en administrator, der er logget ind, ser det berørte indhold, kører scriptet gennem administratorens autentificerede WordPress-session. Derefter henter det de sikkerhedstokens, der er nødvendige for at udføre administrative handlinger.
Herefter bruger payloaden legitime WordPress-funktioner til at installere et ondsindet plugin og oprette en administratorkonto.
Pluginet udgiver sig for at være “WP Smart Thumbnails” version 1.2.4 fra “MediaPress Labs”. Begge angreb leverede den samme JavaScript-payload fra et fælles domæne, hvilket indikerer, at den samme aktør står bag aktiviteten.
Angribere etablerer fire veje tilbage til kompromitterede websteder
De ondsindede JavaScript- og plugin-komponenter skaber flere måder at bevare adgangen på:
- En synlig uautoriseret administratorkonto.
- En anden administratorkonto, der er skjult fra brugerlisten i WordPress-kontrolpanelet.
- En hemmelig loginadresse, der giver adgang som webstedets ældste eksisterende administrator.
- En filhåndtering, der ikke kræver autentificering og er tilgængelig gennem det ondsindede plugin.
Den skjulte konto beholder fulde administratorrettigheder. Den vises dog ikke i kontrolpanelets komplette brugerliste, administratorfilter eller viste antal brugere.
Selvom filhåndteringen ikke kan udføre kommandoer direkte, kan angribere bruge den til at placere yderligere ondsindede filer på webstedet.
Fjernelse af hovedpluginet eliminerer ikke alle bagdøre
Sletning af det falske WP Smart Thumbnails-plugin afslutter ikke nødvendigvis kompromitteringen.
Ifølge Patchstack bevarer separate hjælpeplugins den skjulte administratorkonto og den hemmelige loginmekanisme. Angriberne giver også disse komponenter tilbagedaterede tidsstempler for at gøre dem mindre iøjnefaldende.
Derfor kan andre adgangsveje forblive intakte, selv efter at den mest synlige ondsindede komponent er blevet fjernet. En rutinemæssig kontrol af kontrolpanelet kan også overse den skjulte administratorkonto.
Rettede versioner sikrer indgangspunkterne
Patchstack anbefaler administratorer at opdatere Ninja Forms til version 3.15.4 eller nyere. Websteder, der bruger WPC Product Bundles for WooCommerce, bør installere version 8.6.7 eller nyere.
Disse versioner retter de sårbarheder, der bruges i kampagnen. De sletter dog ikke uautoriserede konti, ondsindede plugins eller andre persistensmekanismer fra en installation, der allerede er kompromitteret.
Administratorer bør derfor kontrollere berørte websteder for tegn på kompromittering samtidig med, at de installerer opdateringerne. Forskellen er vigtig: patching lukker det sårbare indgangspunkt, mens oprydning skal håndtere enhver adgang, som angriberne allerede har etableret.
0 svar til “Sårbarhed i Ninja Forms udnyttes til at installere bagdøre i WordPress”