Kampanye XSS di Ninja Forms dan WPC Product Bundles Pasang Backdoor WordPress

Oleh /

Tidak semua serangan WordPress dimulai dengan celah kritis tanpa login. Pada awal Oktober 2026, peneliti Patchstack menemukan kampanye yang memanfaatkan celah stored cross-site scripting (XSS) di dua plugin berbeda untuk memasang backdoor dan membuat akun administrator palsu. Celah tersebut adalah CVE-2026-94504 di Ninja Forms dan CVE-2026-93836 di WPC Product Bundles for WooCommerce.

Plugin dan versi yang terdampak

  • Ninja Forms (dipakai di lebih dari 500.000 situs): versi 3.15.3 dan sebelumnya, CVE-2026-94504, CVSS 7.1. Perbaikan: 3.15.4 atau lebih baru.
  • WPC Product Bundles for WooCommerce: versi 8.6.6 dan sebelumnya, CVE-2026-93836, CVSS 7.1. Perbaikan: 8.6.7 atau lebih baru.

Keduanya berkategori tinggi (high) dan, menurut laporan BleepingComputer, membutuhkan sesi terautentikasi untuk dieksploitasi.

Bagaimana kampanye ini bekerja

Patchstack pertama kali melihat kampanye ini pada 4 Oktober terhadap pengguna WPC Product Bundles, lalu sehari kemudian terhadap Ninja Forms. Kedua serangan memakai payload JavaScript yang sama dari domain imgcdn1[.]com, sehingga diduga dilakukan oleh pelaku yang sama.

  1. Penyerang menyisipkan skrip berbahaya (x.js) ke data yang tersimpan, misalnya data pesanan WooCommerce atau kiriman formulir Ninja Forms.
  2. Skrip menunggu. Ketika administrator membuka data tersebut di dasbor, skrip berjalan dengan sesi login administrator.
  3. Skrip mengambil nonce admin dan memakai fungsi WordPress yang sah untuk memasang plugin palsu bernama “WP Smart Thumbnails” versi 1.2.4 dari “MediaPress Labs”, serta membuat akun administrator.
  4. Penyerang kemudian memiliki beberapa jalur akses, termasuk akun admin yang terlihat, akun admin yang disembunyikan dari daftar pengguna di dasbor, dan mekanisme login rahasia.

Kenapa XSS bisa sefatal ini?

XSS sering dianggap celah “ringan” karena tidak langsung menjalankan kode di server. Kasus ini menunjukkan sebaliknya: di WordPress, administrator punya kemampuan memasang plugin. Jadi, skrip yang berjalan di browser admin bisa melakukan apa pun yang admin bisa, termasuk memasang plugin berisi kode PHP. XSS tersimpan di area yang rutin dibuka admin, seperti daftar pesanan atau kiriman formulir, sangat efektif untuk tujuan ini.

Langkah mitigasi

  1. Perbarui plugin: Ninja Forms ke 3.15.4+ dan WPC Product Bundles ke 8.6.7+.
  2. Periksa tanda kompromi, karena memperbarui plugin tidak membersihkan infeksi yang sudah ada:
    • Cari plugin “WP Smart Thumbnails” atau plugin lain yang tidak Anda kenal di folder wp-content/plugins, bukan hanya di dasbor.
    • Periksa daftar administrator langsung dari database atau WP-CLI (wp user list --role=administrator), karena akun yang disembunyikan mungkin tidak tampil di dasbor.
    • Cari referensi ke imgcdn1 di data kiriman formulir dan pesanan.
  3. Matikan pemasangan plugin dari dasbor jika tidak diperlukan, misalnya dengan DISALLOW_FILE_MODS. Ini menghambat skenario di mana sesi admin dibajak untuk memasang plugin.
  4. Batasi jumlah admin dan gunakan akun dengan peran lebih rendah untuk memproses pesanan atau membaca kiriman formulir.
  5. Pertimbangkan Content Security Policy untuk membatasi domain skrip yang boleh dimuat di area admin.
  6. Jika terinfeksi: hapus plugin dan akun berbahaya, ganti semua password dan salts, periksa integritas file inti dengan wp core verify-checksums, dan pulihkan dari backup bersih bila perlu.

Pelajaran

Celah berskor “tinggi” pun bisa berujung pada pengambilalihan situs secara penuh jika digabungkan dengan hak administrator. Perbarui plugin secara rutin, kurangi plugin yang tidak perlu, dan audit akun administrator secara berkala. Pelanggan hosting Kudo bisa menghubungi support@kudo.biz.id untuk bantuan pemeriksaan.

Referensi

Tinggalkan Komentar

Scroll to Top