Хакеры используют XSS-уязвимости в двух не связанных между собой плагинах WordPress, Ninja Forms и WPC Product Bundles for WooCommerce для установки бэкдоров и создания подконтрольных учетных записей администратора. Обе получили высокий уровень серьезности и требуют для эксплуатации аутентифицированной сессии. CVE-2026-93836 затрагивает пакеты продуктов WPC для WooCommerce версий 8.6.6 и старше, а CVE-2026-94504 - Ninja Forms версий 3.15.3 и старше. При этом Ninja Forms для WordPress установлен более чем на 500 000 сайтах и позволяет создавать пользовательские формы без написания кода, WPC Product Bundles for WooCommerce - объединять товары в комплекты и активно используется более чем на 30 000 сайтах WordPress. Вредоносная кампания была выявлена 4 октября исследователями Patchstack в отношении пользователей WPC Product Bundles для WooCommerce. На следующий день аналогичная активность была зафиксирована в отношении Ninja Forms. В обеих атаках один и тот же JavaScript-код доставлялся с сайта imgcdn1[.]com, что указывает на то, что за попытками эксплуатации обоих плагинов стоит тот же актор. Злоумышленник пытается внедрить вредоносный JavaScript (x.js) в данные заказов WooCommerce или в формы Ninja Forms. Когда авторизованный администратор загружает контент, скрипт выполняется с использованием авторизованной сессии WordPress. При запуске он получает необходимые административные nonce-коды и использует легитимные функции WordPress для установки вредоносного плагина, маскирующегося под WP Smart Thumbnails версии 1.2.4 от MediaPress Labs, а также для создания учетной записи администратора. На этом этапе JavaScript-код и PHP-скрипты вредоносного плагина устанавливают четыре механизма доступа к скомпрометированному сайту, включая видимый аккаунт администратора, еще один скрытый от списка пользователей WordPress и секретный URL-адрес для входа, а также неавторизованный файловый менеджер, доступный через прямой запрос к основному PHP-файлу вредоносного плагина. Файловый менеджер не может выполнять команды, но его все равно можно использовать для внедрения дополнительных вредоносных программ на сайт. Даже если плагин WP Smart Thumbnails будет удален с зараженного сайта, скрытая учетная запись и секретный URL для входа продолжат функционировать как механизмы обеспечения устойчивости через отдельные вспомогательные плагины атаки, использующие ретроспективные метки времени для обхода обнаружения. Patchstack полагает, что в настоящее время возможности использования уязвимости ограничены, но советует администраторам обновить плагины до последних версий: WPC Product Bundles for WooCommerce версии 8.6.7 или более поздней и Ninja Forms 3.15.4 или более поздней. Обновление уязвимого плагина предотвращает дальнейшую эксплуатацию уязвимости, но не устраняет уже имеющиеся заражения. Администраторам настоятельно рекомендуется проверять наличие IOCs.