به‌گزارش مرکز مدیریت راهبردی افتا، بر اساس گزارش شرکت امنیتی  Patchstack، این آسیب‌پذیری‌ها از نوع اسکریپت‌نویسی بین‌سایتی ذخیره‌شده (Stored XSS) هستند و با شناسه‌های CVE-2026-94504 در افزونه Ninja Forms و CVE-2026-93836  در افزونه WPC Product Bundles for WooCommerce شناسایی شده‌اند. بهره‌برداری از این نقص‌ها به احراز هویت نیاز دارد.

مهاجمان با تزریق کد مخرب جاوااسکریپت به اطلاعات فرم‌ها یا داده‌های سفارش‌های فروشگاه، کد را هنگام مشاهده محتوای آلوده توسط مدیر اجرا می‌کنند. این فرایند امکان نصب افزونه مخرب، ایجاد حساب‌های مدیریتی پنهان و حفظ دسترسی غیرمجاز به وب‌سایت را فراهم می‌کند. حتی حذف افزونه مخرب نیز ممکن است برای قطع کامل دسترسی مهاجم کافی نباشد.

نسخه‌های آسیب‌پذیر و اصلاح‌شده

• Ninja Forms : نسخه‌های 3.15.3 و قدیمی‌تر
• WPC Product Bundles for WooCommerce : نسخه‌های 8.6.6 و قدیمی‌تر

راهکارهای پیشنهادی

• افزونه‌های آسیب‌پذیر را در اسرع وقت به نسخه‌های اصلاح‌شده ارتقا دهید.
• حساب‌های کاربری مدیر، افزونه‌های نصب‌شده و فایل‌های وردپرس را برای شناسایی موارد مشکوک بررسی کنید.
• گزارش‌های امنیتی را از نظر ورودهای غیرعادی و فعالیت‌های مدیریتی غیرمجاز بازبینی کنید.
• در صورت شناسایی آلودگی، درب‌های پشتی و حساب‌های مخفی را حذف کرده و اعتبارنامه‌های مدیریتی را تغییر دهید.