ردپای یک عامل تهدید در حمله به پلاگین Ninja Forms و WooCommerce
پلاگین Ninja Forms وردپرس روی بیش از 500 هزار وب‌سایت نصب شده و امکان ساخت فرم‌های سفارشی را بدون نیاز به کدنویسی فراهم می‌کند. در مقابل، پلاگین WPC Product Bundles for WooCommerce امکان ارائه چند محصول در قالب یک باندل را در فروشگاه‌های ووکامرسی فراهم می‌کند. این پلاگین در بیش از 30 هزار وب‌سایت وردپرسی فعال است.
پژوهشگران پلتفرم امنیت وردپرس Patchstack در 4 اکتبر 2026، کمپینی را شناسایی کردند که کاربران پلاگین WPC Product Bundles for WooCommerce را هدف قرار داده بود. روز بعد، همین فعالیت مخرب در ارتباط با پلاگین Ninja Forms نیز مشاهده شد.
در هر دو حمله، پیلود جاوااسکریپت (JavaScript) یکسانی از دامنه imgcdn1[.]com ارسال شده بود. این موضوع نشان می‌دهد که احتمالاً یک عامل تهدید پشت تلاش‌ها برای سوءاستفاده از آسیب‌پذیری‌های هر دو پلاگین قرار دارد.
سازوکار نفوذ و ایجاد مسیرهای دسترسی مخفی در وردپرس
بر اساس گزارش پژوهشگران، مهاجم تلاش می‌کند کد جاوااسکریپت مخرب x.js را در داده‌های سفارش‌های ووکامرس یا داده‌های ارسالی از طریق فرم‌های پلاگین Ninja Forms تزریق کند. هنگامی که ادمین محتوای آلوده را بارگذاری می‌کند، این کد با استفاده از نشست احراز هویت‌شده وردپرس اجرا می‌شود.
پس از اجرا، اسکریپت نونس های مدیریتی موردنیاز ادمین را استخراج کرده و با استفاده از توابع قانونی وردپرس، یک پلاگین مخرب را روی سایت نصب می‌کند.این پلاگین با مشخصات جعلی زیر خود را به‌عنوان یک پلاگین معتبر معرفی می‌کند:
- نام پلاگین: WP Smart Thumbnails
- نسخه: 1.2.4
- نام توسعه‌دهنده: MediaPress Labs
اسکریپت علاوه بر نصب این پلاگین، یک حساب کاربری ادمین نیز ایجاد می‌کند. به این ترتیب، مهاجم از قابلیت‌های داخلی وردپرس برای ایجاد دسترسی غیرمجاز به سایت سوءاستفاده می‌کند.
در ادامه، پیلود جاوااسکریپت و اسکریپت‌های PHP پلاگین مخرب، چهار روش برای دسترسی مهاجم به وب‌سایت هک‌شده ایجاد می‌کنند:
- ایجاد یک حساب کاربری ادمین که در فهرست کاربران وردپرس قابل مشاهده است.
- ایجاد یک حساب کاربری ادمین مخفی که در فهرست کاربران وردپرس نمایش داده نمی‌شود.
- ایجاد یک لینک ورود مخفی که به مهاجم اجازه می‌دهد بدون ورود عادی، با قدیمی‌ترین حساب ادمین موجود در سایت وارد شود.
- ایجاد یک فایل‌منیجر بدون نیاز به احراز هویت که از طریق ارسال مستقیم درخواست به فایل PHP اصلی پلاگین مخرب قابل دسترسی است.
این چهار سازوکار به مهاجم اجازه می‌دهند از مسیرهای مختلف به سایت دسترسی داشته باشد و حتی در صورت شناسایی یکی از روش‌ها، امکان تداوم دسترسی از طریق مسیرهای دیگر را حفظ کند.
تداوم دسترسی مهاجمان پس از نفوذ به وردپرس
فایل‌منیجر مورد استفاده در این حمله امکان اجرای مستقیم دستورات سیستمی را ندارد؛ اما مهاجم همچنان می‌تواند از آن برای بارگذاری پیلودهای مخرب بیشتر روی وب‌سایت استفاده کند.
حتی اگر پلاگین WP Smart Thumbnails از وب‌سایت آلوده حذف شود، حساب ادمین مخفی و لینک ورود پنهان همچنان می‌توانند از طریق پلاگین‌های کمکی جداگانه، که Timestamp آنها عقب کشیده شده تا قابل شناسایی نباشند، به عنوان سازوکارهای دسترسی به کار خود ادامه دهند.
به گفته پژوهشگران Patchstack، حساب ادمین مخفی در فهرست «کاربران ← همه کاربران» (Users → All Users) نمایش داده نمی‌شود، حتی با انتخاب فیلتر Administrator نیز قابل مشاهده نیست و در تعداد کل کاربران سایت هم محاسبه نمی‌شود. به گفته پژوهشگران، این حساب با وجود برخورداری از تمام دسترسی‌های ادمین، از دید مالک وب‌سایت پنهان می‌ماند.
نسخه‌های دارای پچ امنیتی برای پلاگین Ninja Forms و WPC Product Bundles for WooCommerce
پلتفرم امنیتی Patchstack اعلام کرده است که در حال حاضر سواستفاده از این آسیب پذیری محدود شده است. بااین‌حال، برای جلوگیری از حملات احتمالی، به ادمین‌ها توصیه می‌کند پلاگین‌های آسیب‌پذیر را به آخرین نسخه‌های دارای پچ امنیتی به‌روزرسانی کنند:
- پلاگین WPC Product Bundles for WooCommerce: نسخه 8.6.7 یا جدیدتر
- پلاگین Ninja Forms: نسخه 3.15.4 یا جدیدتر
به‌روزرسانی این پلاگین‌ها از سوءاستفاده‌های بعدی از آسیب‌پذیری‌ها جلوگیری می‌کند، اما به‌معنای پاک‌سازی آلودگی‌های موجود نیست. بنابراین، ادمین‌ها باید وب‌سایت را از نظر شاخص‌های نفوذ (IoC) بررسی کنند و حساب‌های کاربری ناشناس، پلاگین‌های مشکوک و مسیرهای ورود غیرمعمول را شناسایی نمایند.
