Hackers explotan fallo en Ninja Forms y WooCommerce para acceder a sitios WordPress

Investigadores de seguridad han identificado una campaña de ataques que explota vulnerabilidades en dos plugins populares de WordPress: Ninja Forms y WPC Product Bundles para WooCommerce. Los ataques instalan puertas traseras y crean cuentas de administrador ocultas para mantener acceso persistente a los sitios comprometidos.

La campaña fue detectada el 4 de octubre por expertos de la plataforma de seguridad Patchstack, quienes observaron ataques contra usuarios del plugin WPC Product Bundles. Un día después, el 5 de octubre, se registró actividad similar enfocada en Ninja Forms.

Ambos plugins contienen vulnerabilidades de cross-site scripting almacenado (XSS almacenado) que requieren una sesión autenticada para ser explotadas. La vulnerabilidad en WPC Product Bundles está identificada como CVE-2026-93836 y afecta versiones 8.6.6 y anteriores. En el caso de Ninja Forms, la falla corresponde a CVE-2026-94504 y alcanza versiones 3.15.3 y anteriores.

Los investigadores descubrieron que el mismo payload de JavaScript se entrega desde el dominio imgcdn1[.]com en ambos ataques, lo que sugiere que el mismo actor de amenazas está detrás de ambas campañas. El script malicioso, llamado x.js, se implanta en datos de pedidos de WooCommerce o en envíos de formularios de Ninja Forms.

Cuando un administrador inicia sesión en el sitio y carga ese contenido, el script se ejecuta utilizando la sesión autenticada de WordPress. El código obtiene los nonces administrativos necesarios y emplea funciones legítimas de WordPress para instalar un plugin malicioso que se hace pasar por "WP Smart Thumbnails" versión 1.2.4, supuestamente desarrollado por "MediaPress Labs".

Por qué importa

El plugin Ninja Forms está instalado en más de 500,000 sitios de WordPress y permite crear formularios personalizados sin escribir código. WPC Product Bundles para WooCommerce, que permite agrupar productos en paquetes, está activo en más de 30,000 sitios. La combinación de ambos implica que cientos de miles de portales podrían estar expuestos a esta campaña.

Una vez ejecutado el payload, los atacantes establecen cuatro mecanismos de acceso diferentes: una cuenta visible de administrador, una cuenta oculta que no aparece en la lista de usuarios del panel de WordPress, una URL de login secreta que autentica como el administrador más antiguo del sitio, y un gestor de archivos accesible sin autenticación mediante una solicitud directa al archivo principal del plugin malicioso.

Patchstack advierte que la cuenta oculta no aparece en Usuarios > Todos los Usuarios, no se muestra en el filtro de Administrador y no se cuenta en los totales de la lista. "Es un administrador con privilegios completos que el propietario del sitio no puede ver", detallan los investigadores.

Aunque el plugin falso "WP Smart Thumbnails" sea eliminado, la cuenta oculta y la URL de login secreta siguen funcionando como mecanismos de persistencia a través de plugins auxiliary adicionales con marcas de tiempo alteradas para evadir detección.

Qué puedes hacer

Los administradores de sitios WordPress deben actualizar inmediatamente a las versiones más recientes de los plugins afectados: WPC Product Bundles para WooCommerce versión 8.7 o superior y Ninja Forms versión 3.15.4 o superior. Sin embargo, actualizar no elimina una infección existente.

Se recomienda revisar manualmente los usuarios del sitio en busca de cuentas sospechosas, verificar la existencia de plugins desconocidos y comprobar si existe una URL de login alternativa configurada. También es importante vigilar actividad inusual en el panel de administración y revisar los registros del servidor.

Patchstack señala que la explotación actualmente es limitada, pero la gravedad de las vulnerabilidades y los múltiples mecanismos de persistencia instalados hacen recomendable una revisión exhaustiva de cualquier sitio que utilizo estos plugins.

Con información de BleepingComputer.