سوءاستفاده از آسیب‌پذیری دو افزونه وردپرس برای ایجاد دسترسی غیرمجاز

به‌گزارش مرکز مدیریت راهبردی افتا، بر اساس گزارش شرکت امنیتیPatchstackاین آسیب‌پذیری‌ها از نوع اسکریپت‌نویسی بین‌سایتی ذخیره‌شده(Stored XSS)هستند و با شناسه‌هایCVE-2026-94504در افزونهNinja FormsوCVE-2026-93836در افزونهWPC Product Bundles for WooCommerceشناسایی شده‌اند. بهره‌برداری از این نقص‌ها به احراز هویت نیاز دارد.

مهاجمان با تزریق کد مخرب جاوااسکریپت به اطلاعات فرم‌ها یا داده‌های سفارش‌های فروشگاه، کد را هنگام مشاهده محتوای آلوده توسط مدیر اجرا می‌کنند. این فرایند امکان نصب افزونه مخرب، ایجاد حساب‌های مدیریتی پنهان و حفظ دسترسی غیرمجاز به وب‌سایت را فراهم می‌کند. حتی حذف افزونه مخرب نیز ممکن است برای قطع کامل دسترسی مهاجم کافی نباشد.

نسخه‌های آسیب‌پذیر و اصلاح‌شده

• Ninja Formsنسخه‌های 3.15.3 و قدیمی‌تر
• WPC Product Bundles for WooCommerceنسخه‌های 8.6.6 و قدیمی‌تر

راهکارهای پیشنهادی

• افزونه‌های آسیب‌پذیر را در اسرع وقت به نسخه‌های اصلاح‌شده ارتقا دهید.
• حساب‌های کاربری مدیر، افزونه‌های نصب‌شده و فایل‌های وردپرس را برای شناسایی موارد مشکوک بررسی کنید.
• گزارش‌های امنیتی را از نظر ورودهای غیرعادی و فعالیت‌های مدیریتی غیرمجاز بازبینی کنید.
• در صورت شناسایی آلودگی، درب‌های پشتی و حساب‌های مخفی را حذف کرده و اعتبارنامه‌های مدیریتی را تغییر دهید.