Une r\u00e9ponse JSON distante, charg\u00e9e pour afficher une banni\u00e8re promotionnelle dans l\u2019administration, a suffi \u00e0 compromettre des sites WordPress sans modifier les fichiers des extensions install\u00e9es. Cette attaque de cha\u00eene d\u2019approvisionnement vise plusieurs extensions BdThemes et peut donner aux attaquants un acc\u00e8s administrateur persistant ainsi que l\u2019ex\u00e9cution de code \u00e0 distance.<\/p>\n\n\n\n
Les extensions concern\u00e9es ont \u00e9t\u00e9 ferm\u00e9es temporairement dans le r\u00e9pertoire officiel WordPress le 7\u00a0ao\u00fbt\u00a02026, pendant leur inspection. Si votre site utilise l\u2019une d\u2019elles, recherchez imm\u00e9diatement les indicateurs de compromission dans les comptes, les extensions, les fichiers et les options de la base de donn\u00e9es.<\/p>\n\n<\/div>\n\n\n\n
Les extensions BdThemes embarquent Biggopti<\/em>, un composant interne qui r\u00e9cup\u00e8re des banni\u00e8res promotionnelles et les affiche dans le tableau de bord WordPress. Les donn\u00e9es proviennent de l\u2019API du fournisseur, elle-m\u00eame aliment\u00e9e par des fichiers JSON statiques stock\u00e9s dans un bucket DigitalOcean Spaces prot\u00e9g\u00e9 par Cloudflare, et non par un serveur applicatif dynamique.<\/p>\n\n\n\n La compromission ne modifie aucun fichier source dans le d\u00e9p\u00f4t WordPress.org ni sur le disque du site. Des attaquants ont obtenu un acc\u00e8s en \u00e9criture au bucket de stockage, puis ont remplac\u00e9 les r\u00e9ponses JSON l\u00e9gitimes par des r\u00e9ponses malveillantes qui exploitent une vuln\u00e9rabilit\u00e9 de cross-site scripting (XSS) dans Biggopti.<\/p>\n\n\n\n Chaque extension qui utilise Biggopti charge un fichier JavaScript c\u00f4t\u00e9 client sur le hook admin_init<\/code>. Le script s\u2019ex\u00e9cute donc sans condition \u00e0 chaque chargement d\u2019une page wp-admin<\/code>, r\u00e9cup\u00e8re les donn\u00e9es de banni\u00e8re, puis ins\u00e8re directement display_id<\/code> dans un attribut HTML id<\/code>, sans l\u2019\u00e9chapper\u00a0:<\/p>\n\n\n\n