Et kompromitteret JSON-feed var nok til at overtage WordPress-sites med flere BdThemes-plugins. Angrebet \u00e6ndrede hverken plugin-kode i WordPress.orgs repository eller filer p\u00e5 det enkelte site, men k\u00f8rte JavaScript direkte i browseren hos en logget ind administrator.<\/p>\n\n\n\n
Bruger du et af de ber\u00f8rte plugins, skal du behandle sitet som muligt kompromitteret. Gennemg\u00e5 straks brugere, plugin-mapper og databaseoptioner for indikatorerne l\u00e6ngere nede.<\/p>\n\n<\/div>\n\n\n\n
Alle kendte ber\u00f8rte plugins blev 7. august 2026 midlertidigt lukket i WordPress’ plugin-bibliotek, mens de bliver unders\u00f8gt. Angrebet ramte leverand\u00f8rens Biggopti-komponent, der henter kampagnebannere til Biggopti indeholder en cross-site scripting-s\u00e5rbarhed (XSS), hvor angribere kan f\u00e5 vilk\u00e5rlig JavaScript til at k\u00f8re i en administrators browser. Fejlen ligger i feltet S\u00e5rbarheden har CVSS-score 5,4 (medium)<\/strong> og er angivet som upatchet. Den rammer forskellige versioner af Biggopti-biblioteket og kan udnyttes, hvis en angriber f\u00e5r adgang til Sigmative API-serveren og kan \u00e6ndre dens svar.<\/p>\n\n\n\n F\u00f8lgende plugins er omfattet af s\u00e5rbarheden:<\/p>\n\n\n\n Biggopti henter bannerdata fra en API, der best\u00e5r af statiske JSON-filer i en DigitalOcean Spaces-bucket bag Cloudflare. Det er alts\u00e5 ikke en dynamisk applikationsserver. En uautoriseret akt\u00f8r fik skriveadgang til bucket’en og erstattede legitime JSON-svar med manipulerede svar.<\/p>\n\n\n\n Hvert plugin med Biggopti indl\u00e6ser et JavaScript-asset p\u00e5 wp-admin<\/code> fra en ekstern API.<\/p>\n\n\n\nS\u00e5rbarheden kort fortalt<\/h2>\n\n\n\n
display_id<\/code> fra Sigmative API’et, som ikke bliver escaped korrekt, f\u00f8r det inds\u00e6ttes i HTML.<\/p>\n\n\n\nBer\u00f8rt software<\/h3>\n\n\n\n
\n\n
bdthemes-element-pack-lite<\/code>)<\/li>\n\n\nlive-copy-paste<\/code>)<\/li>\n\n\npixel-gallery<\/code>)<\/li>\n\n\nbdthemes-prime-slider-lite<\/code>)<\/li>\n\n\nsmart-admin-assistant<\/code>)<\/li>\n\n\nultimate-post-kit<\/code>)<\/li>\n\n\nultimate-store-kit<\/code>)<\/li>\n\n<\/ul>\n\n\n\nS\u00e5dan blev det eksterne feed til et angreb<\/h2>\n\n\n\n
admin_init<\/code>. Scriptet k\u00f8rer derfor p\u00e5 enhver sideindl\u00e6sning i wp-admin<\/code>, henter bannerdata og bygger en notice i DOM’en. Her bruges display_id<\/code> direkte i et HTML-id<\/code> uden escaping:<\/p>\n\n\n\n