Хакери експлоатират уязвимости от тип съхранен cross-site scripting (XSS) в две несвързани разширения за WordPress, Ninja Forms и WPC Product Bundles for WooCommerce, за инсталиране на задни врати (backdoors) и създаване на фалшиви администраторски профили.
И двете уязвимости получиха висока степен на опасност и изискват удостоверена сесия за експлоатация. Те се проследяват като CVE-2026-93836, засягаща WPC Product Bundles for WooCommerce версии 8.6.6 и по-стари, и CVE-2026-94504, засягаща Ninja Forms версии 3.15.3 и по-стари.
Разширението Ninja Forms за WordPress е инсталирано на повече от 500 000 сайта и позволява създаването на персонализирани форми без писане на код.
WPC Product Bundles for WooCommerce позволява съхраняване на групирани продукти в пакети и е активно на повече от 30 000 WordPress сайта.
Кампанията беше идентифицирана на 4 октомври от изследователи от платформата за сигурност на WordPress Patchstack срещу потребители на WPC Product Bundles for WooCommerce. На следващия ден същата активност беше наблюдавана и срещу Ninja Forms.
И при двете атаки един и същ JavaScript злонамерен код е доставен от „imgcdn1[.]com“, което показва, че един и същ злонамерен субект стои зад опитите за експлоатация на двете разширения.
Според изследователите атакуващият се опитва да внедри зловреден JavaScript (x.js) в данните за поръчки на WooCommerce или в изпратените данни през Ninja Forms. Когато влязъл в системата администратор зареди съдържанието, скриптът се изпълнява с помощта на удостоверената сесия в WordPress.
След стартиране той извлича необходимите административни криптографски токени (nonces) и използва легитимни функции на WordPress, за да инсталира зловредно разширение, маскирано като „WP Smart Thumbnails“ версия 1.2.4 от „MediaPress Labs“, и да създаде администраторски профил.
На този етап инжектираният JavaScript код и PHP скриптовете на злонамереното разширение внедряват четири механизма за достъп до компрометирания сайт:
- Служебен администраторски профил, който е видим
- Администраторски профил, скрит от списъка с потребители на WordPress в контролния панел
- Таен URL адрес за вход, който се удостоверява като най-стария съществуващ администратор на сайта
- Неудостоверен файлов мениджър, достъпен чрез директна заявка към основния PHP файл на зловредното разширение
Файловият мениджър не може да изпълнява команди, но все пак може да се използва за въвеждане на допълнителен злонамерен код в сайта.
Дори ако разширението WP Smart Thumbnails бъде премахнато от инфектирания уебсайт, скритият профил и тайният URL адрес за вход продължават да функционират като механизми за поддържане на достъпа (persistence) чрез отделни спомагателни атаки с разширения, съдържащи антидатирани времеви печати за избягване на откриването.
„[Скритият] профил не се появява в Потребители → Всички потребители, не се появява във филтъра Администратор и не се брои в общия брой над списъка“, обясняват от Patchstack, като добавят, че „Това е напълно привилегирован администратор, който собственикът на сайта не може да види.“
От Patchstack заявяват, че експлоатацията към момента е ограничена, но съветват администраторите на сайтове да актуализират до най-новите версии на засегнатите разширения — WPC Product Bundles for WooCommerce версия 8.6.7 или по-нова и Ninja Forms 3.15.4 или по-нова.
Обновяването на уязвимото разширение предотвратява последваща експлоатация, но не изчиства съществуваща инфекция. Настоятелно се препоръчва на администраторите да проверят за признаци на компрометиране.