Patchstack WordPress 漏洞库· Edouard·· 16 天前精选AI 评分88
WordPress 存储型 XSS 活动利用 CVE-2026-93836 与 CVE-2026-94504 植入隐藏管理员
Four ways back in: the WordPress XSS campaign that hides its own admin account
AI 导读
Patchstack 遥测显示，攻击者自 2026 年 10 月 4 日起通过 WPC Product Bundles for WooCommerce 的 CVE-2026-93836 和 Ninja Forms 的 CVE-2026-94504 两个无需认证的存储型 XSS 漏洞，向管理员浏览器投递同一份 imgcdn1.com/fz/x.js 载荷。
为什么值得看
同一植入体经两个不同插件的存储型 XSS 投递，并留下四条互相独立的回访通道，可作持久化检测的参照。
来源：Patchstack WordPress 漏洞库 · patchstack.com