Уязвимости в Ninja Forms и WPC Product Bundles эксплуатируются для взлома сайтов WordPress

Злоумышленники начали массово эксплуатировать уязвимости хранимого межсайтового скриптинга (stored XSS) в двух популярных, но не связанных между собой плагинах WordPress — Ninja Forms и WPC Product Bundles для WooCommerce. Как сообщает BleepingComputer, целью атак является установка бэкдоров и создание мошеннических учётных записей администраторов, что даёт злоумышленникам полный контроль над скомпрометированными сайтами. Проблема затрагивает тысячи веб-ресурсов по всему миру, поскольку оба плагина широко используются для создания форм обратной связи и организации продаж товаров комплектами в WooCommerce. Атаки носят активный характер, и промедление с обновлением может привести к полной компрометации сайта.

Подробности

Обе уязвимости относятся к классу stored XSS: вредоносный JavaScript-код внедряется в базу данных сайта и выполняется в браузерах посетителей или администраторов при открытии заражённых страниц. Это позволяет атакующим обходить стандартные механизмы защиты и действовать от имени легитимных пользователей. В случае с Ninja Forms эксплуатация уязвимости даёт возможность внедрить произвольный скрипт через поля формы, который затем срабатывает в панели администратора. Для WPC Product Bundles аналогичный механизм реализуется через параметры товаров WooCommerce. Точные идентификаторы CVE в исходной публикации не уточняются, однако обе проблемы уже активно используются в реальных атаках. Конечная цель злоумышленников — закрепление в системе: после успешной эксплуатации XSS-уязвимости на сайт устанавливается бэкдор, а также создаётся скрытая учётная запись с правами администратора. Это позволяет сохранять доступ даже после обнаружения и удаления вредоносного кода из форм. В ряде случаев вредоносный скрипт может перенаправлять посетителей на фишинговые ресурсы или похищать данные аутентификации.

Что делать

Владельцам сайтов на WordPress рекомендуется незамедлительно предпринять следующие меры:

• Обновить плагины Ninja Forms и WPC Product Bundles для WooCommerce до последних доступных версий — производители уже выпустили исправления.
• Проверить список пользователей сайта на наличие неизвестных учётных записей с правами администратора и удалить подозрительные.
• Провести аудит форм и записей в базе данных на предмет внедрённого JavaScript-кода и вредоносных бэкдоров.
• Сменить пароли всех администраторов и включить MFA для учётных записей с повышенными привилегиями.
• При наличии признаков компрометации рассмотреть восстановление сайта из резервной копии, созданной до атаки.
• Настроить мониторинг целостности файлов и веб-журналов для своевременного выявления повторных попыток эксплуатации.

Итог: уязвимости stored XSS в плагинах WordPress уже используются в активных атаках, поэтому обновление и проверка сайта на наличие бэкдоров и поддельных администраторов должны быть выполнены в приоритетном порядке.

Источник: BleepingComputer