La campagna XSS su WordPress nasconde un amministratore: aggiornare il plugin non bonifica il sito

Il plugin vulnerabile si aggiorna; l’amministratore nascosto resta. È la differenza fra chiudere l’ingresso e bonificare un sito nella campagna WordPress descritta da Patchstack. Gli attacchi osservati dal 4 ottobre usano due falle XSS memorizzate per far eseguire codice quando un amministratore apre dati contaminati.

I componenti interessati sono WPC Product Bundles fino a 8.6.6 e Ninja Forms fino a 3.15.3; le versioni corrette sono rispettivamente 8.6.7 e 3.15.4. I due punti d’ingresso portano allo stesso secondo stadio, che usa la sessione autenticata dell’amministratore per installare codice e creare altri accessi.

Patchstack individua un plugin malevolo presentato come WP Smart Thumbnails, account privilegiati e MU-plugin che nascondono un amministratore e abilitano un collegamento di accesso. Il file manager installato offre un ulteriore percorso. Rimuovere il plugin malevolo visibile non elimina automaticamente gli impianti separati.

Chi trova tracce della campagna deve quindi controllare anche utenti, file e cartella mu-plugins, non fermarsi al numero di versione del plugin originale. L’analisi pubblica include indicatori e mitigazioni. Il meccanismo sfrutta una sessione reale: non ha bisogno di leggere il cookie per poter operare con i permessi dell’amministratore.