{"id":231,"date":"2026-08-09T10:43:01","date_gmt":"2026-08-09T08:43:01","guid":{"rendered":"https:\/\/helloblog.io\/fi\/bdthemes-api-toimitusketjuhyokkays\/"},"modified":"2026-08-09T10:43:01","modified_gmt":"2026-08-09T08:43:01","slug":"bdthemes-api-toimitusketjuhyokkays","status":"publish","type":"post","link":"https:\/\/helloblog.io\/fi\/bdthemes-api-toimitusketjuhyokkays\/","title":{"rendered":"BdThemesin API-hy\u00f6kk\u00e4ys: n\u00e4in tarkistat WordPress-sivustosi"},"content":{"rendered":"\n

BdThemesin lis\u00e4osien toimitusketjuhy\u00f6kk\u00e4ys ei muuttanut yht\u00e4k\u00e4\u00e4n tiedostoa WordPress.org:n SVN-repositoriossa. Hy\u00f6kk\u00e4\u00e4j\u00e4 myrkytti lis\u00e4osien hallintan\u00e4kym\u00e4ss\u00e4 hakeman JSON-sy\u00f6tteen, jolloin haittakoodi suoritettiin kirjautuneen yll\u00e4pit\u00e4j\u00e4n selaimessa jokaisella wp-admin<\/code>-sivulatauksella. Se riitti luomaan v\u00e4\u00e4ri\u00e4 yll\u00e4pit\u00e4j\u00e4tunnuksia, asentamaan webshellin ja j\u00e4tt\u00e4m\u00e4\u00e4n sivustolle pysyvi\u00e4 takaportteja.<\/p>\n\n\n\n

Jos sivustollasi on yksikin t\u00e4ss\u00e4 artikkelissa luetelluista BdThemes-lis\u00e4osista, tarkista kompromissin indikaattorit v\u00e4litt\u00f6m\u00e4sti. Pelkk\u00e4 lis\u00e4osatiedostojen eheystarkistus ei riit\u00e4, koska hy\u00f6kk\u00e4ys toimi et\u00e4-API:n kautta eik\u00e4 vaatinut tiedostomuutoksia palvelimella.<\/p>\n\n\n\n

\n\n

Toimi heti<\/h4>\n\n\n

Kaikki seitsem\u00e4n vaikutuksen piiriss\u00e4 olevaa lis\u00e4osaa suljettiin v\u00e4liaikaisesti WordPressin lis\u00e4osahakemistosta 7.8.2026 tarkistusta ja tutkintaa varten. Haavoittuvuus on luokiteltu korjaamattomaksi.<\/p>\n\n<\/div>\n\n\n\n

Mit\u00e4 hy\u00f6kk\u00e4yksess\u00e4 tapahtui?<\/h2>\n\n\n\n

Toimitusketjuhy\u00f6kk\u00e4ys tarkoittaa hy\u00f6kk\u00e4yst\u00e4 luotettuun ohjelmiston, p\u00e4ivityksen tai ulkoisen datan toimitusreittiin. T\u00e4ss\u00e4 tapauksessa kohteena oli BdThemesin Biggopti<\/em>-komponentti, joka noutaa mainosbannereita toimittajan API:sta ja n\u00e4ytt\u00e4\u00e4 ne WordPressin hallintapaneelissa.<\/p>\n\n\n\n

API ei ollut dynaaminen sovelluspalvelin, vaan Cloudflaren suojaaman DigitalOcean Spaces -objektitallennuksen tarjoama staattinen JSON-tiedosto. Hy\u00f6kk\u00e4\u00e4j\u00e4 sai kirjoitusoikeuden tallennustilaan ja korvasi aidot JSON-vastaukset muokatuilla vastauksilla. T\u00e4m\u00e4 viittaa vakavaan murtoon BdThemesin pilvitallennuksen tunnuksissa tai sis\u00e4isess\u00e4 infrastruktuurissa.<\/p>\n\n\n\n

Hy\u00f6kk\u00e4ys hy\u00f6dynsi Biggoptin XSS-haavoittuvuutta. XSS eli cross-site scripting tarkoittaa, ett\u00e4 hy\u00f6kk\u00e4\u00e4j\u00e4 saa selaimen suorittamaan omaa JavaScripti\u00e4\u00e4n luotetulla sivustolla. Koska skripti suoritettiin valmiiksi kirjautuneen yll\u00e4pit\u00e4j\u00e4n istunnossa, sill\u00e4 oli yll\u00e4pit\u00e4j\u00e4n oikeuksien puitteissa p\u00e4\u00e4sy WordPressin toimintoihin.<\/p>\n\n\n\n

Haavoittuvuus Biggopti-kirjastossa<\/h2>\n\n\n\n

Biggopti-kirjaston eri versioissa on display_id<\/code>-kentt\u00e4\u00e4n liittyv\u00e4 XSS-haavoittuvuus Sigmative API:ssa. Sen CVSS-arvo on 5,4 \/ 10 (keskitaso)<\/strong>, ja korjausta ei ollut saatavilla. Hy\u00f6kk\u00e4\u00e4j\u00e4, joka pystyy murtautumaan Sigmative API -palveluun, voi lis\u00e4t\u00e4 sivuille mielivaltaista JavaScripti\u00e4, joka suoritetaan, kun k\u00e4ytt\u00e4j\u00e4 avaa saastuneen sivun.<\/p>\n\n\n\n

Jokainen Biggoptia k\u00e4ytt\u00e4v\u00e4 BdThemes-lis\u00e4osa rekister\u00f6i client-side JavaScript -tiedoston admin_init<\/code>-hookissa. Siksi selain lataa ja suorittaa skriptin ehdoitta jokaisella wp-admin<\/code>-sivulla. Skripti noutaa bannerit API-endpointista ja kokoaa niiden HTML-rakenteen DOM:iin.<\/p>\n\n\n\n

Ongelma syntyy, kun koodi sijoittaa et\u00e4-JSON:n display_id<\/code>-arvon suoraan HTML:n id<\/code>-attribuuttiin ilman selaimessa teht\u00e4v\u00e4\u00e4 merkist\u00f6muunnosta. Haavoittuvan logiikan pelkistetty muoto on seuraava:<\/p>\n\n\n\n

<\/circle><\/circle><\/circle><\/g><\/svg><\/span>