漏洞分享 - WordPress 兩款外掛遭 XSS 攻擊，駭客植入後門並建立隱藏管理員帳號
WordPress 兩款外掛遭 XSS 攻擊，駭客植入後門並建立隱藏管理員帳號 一、 摘要 資安業者 Patchstack 發現，WordPress 外掛 WPC Product Bundles for WooCommerce 輿 Ninja Forms 存在跨網站指令碼(XSS)漏洞。駭客可利用漏洞注入惡意 JavaScript，當管理員檢視受影響內容時，進一步建立隱藏的管理員帳號、植入後門並取得網站控制權，增加網站遭持續入侵的風險。 二 、存在風險 本次涉及漏洞如下: CVE-2026-93836 : WPC Product Bundles for WooCommerce CVSS 7.2分,修補版本為8.6.7。 CVE-2026-94504 : Ninja Forms,CVSS 7.2分,修補版本為3.15.4。 駭客成功利用漏洞後，可能建立隱藏管理員帳號、安裝惡意外掛、植入後門，甚至透過檔案管理工具讀取或修改網站資料。即使移除受影響外掛，若未清除其他惡意程式,網站仍可能遭到持續控制。 三、建議改善措施 建議採用 WPC Product Bundles for WooCommerce 奥 Ninja Forms 外掛程式的 WordPress 網站 ， 應採取以下安全措施 ， 以降低遭駭風 險: 更新外掛：將受影響外掛更新至上述修補版本或更新版本。 檢查管理員帳號：確認是否存在未經授權或遭隱藏的管理員帳號。 清查惡意程式：檢查MU外掛、網站檔案及資料庫 ， 移除可疑後門與未授權程式。 強化帳號安全：更換管理員密碼、更新WordPress 驗證金鑰 ， 並撤銷既有登入工作階段。 定期備份與監控:定期備份網站資料 ， 並監控異常登入及檔案變更紀錄。 情資報告連結： https://patchstack.com/articles/four-ways-back-in-the-wordpress-xss-campaign-...