漏洞分享 - WordPress 兩款外掛遭 XSS 攻擊，駭客植入後門並建立隱藏管理員帳號

WordPress 兩款外掛遭 XSS 攻擊，駭客植入後門並建立隱藏管理員帳號

一、摘要

        資安業者 Patchstack 發現，WordPress 外掛 WPC Product Bundles for WooCommerce 輿 Ninja Forms 存在跨網站指令碼(XSS)漏洞。駭客可利用漏洞注入惡意 JavaScript，當管理員檢視受影響內容時，進一步建立隱藏的管理員帳號、植入後門並取得網站控制權，增加網站遭持續入侵的風險。

二、存在風險

        本次涉及漏洞如下:

• CVE-2026-93836 : WPC Product Bundles for WooCommerce   CVSS 7.2分,修補版本為8.6.7。
• CVE-2026-94504 : Ninja Forms,CVSS 7.2分,修補版本為3.15.4。

    駭客成功利用漏洞後，可能建立隱藏管理員帳號、安裝惡意外掛、植入後門，甚至透過檔案管理工具讀取或修改網站資料。即使移除受影響外掛，若未清除其他惡意程式,網站仍可能遭到持續控制。

三、建議改善措施

        建議採用 WPC Product Bundles for WooCommerce 奥 Ninja

Forms 外掛程式的 WordPress 網站，應採取以下安全措施，以降低遭駭風

險:

• 更新外掛：將受影響外掛更新至上述修補版本或更新版本。
• 檢查管理員帳號：確認是否存在未經授權或遭隱藏的管理員帳號。
• 清查惡意程式：檢查MU外掛、網站檔案及資料庫，移除可疑後門與未授權程式。
• 強化帳號安全：更換管理員密碼、更新WordPress 驗證金鑰，並撤銷既有登入工作階段。
• 定期備份與監控:定期備份網站資料，並監控異常登入及檔案變更紀錄。

        情資報告連結：https://patchstack.com/articles/four-ways-back-in-the-wordpress-xss-campaign-that-hides-its-own-admin-account/