Een gecompromitteerde promotiefeed heeft meerdere BdThemes-plugins veranderd in een aanvalskanaal. Aanvallers hoefden geen bestanden in de WordPress.org-repository te wijzigen: een vergiftigd JSON-antwoord liet JavaScript draaien in iedere ingelogde beheerderssessie en kon zo volledige siteovername veroorzaken.<\/p>\n\n\n\n
De WordPress-pluginteam heeft alle getroffen plugins tijdelijk gesloten terwijl het onderzoek en een volledige inspectie lopen. Controleer sites met deze plugins direct op de indicatoren in dit artikel, ook als je geen verdachte wijzigingen in pluginbestanden ziet.<\/p>\n\n\n\n
Deze aanval werkt zonder pluginupdate en laat de pluginbestanden op schijf ongemoeid. Alleen bestandsintegriteitscontroles missen de primaire infectieketen daarom mogelijk.<\/p>\n\n<\/div>\n\n\n\n
BdThemes levert in meerdere plugins een intern systeem met de naam Biggopti<\/em>. Dit systeem haalt promotiebanners op vanaf een API en toont ze in het WordPress-dashboard. De API gebruikt geen dynamische applicatieserver, maar statische JSON-bestanden in een DigitalOcean Spaces-bucket die Cloudflare beschermt.<\/p>\n\n\n\n Aanvallers kregen schrijfrechten op die opslagbucket of op de infrastructuur eromheen. Zij vervingen legitieme JSON-antwoorden door kwaadaardige records en maakten misbruik van een XSS-kwetsbaarheid die de pluginmakers in de parser voor die antwoorden hadden ge\u00efntroduceerd.<\/p>\n\n\n\n XSS, of cross-site scripting, betekent dat onbetrouwbare invoer als uitvoerbare browsercode op een pagina terechtkomt. Hier draait die code in de browser van een ingelogde WordPress-beheerder, stilzwijgend bij elke laadactie van een De kwetsbaarheid zit in Biggopti en heeft een CVSS-score van 5,4 (gemiddeld)<\/strong>. De patchstatus is niet gepatcht<\/strong>. Het betreft XSS via de parameter De volgende plugins gebruiken de getroffen Biggopti-functionaliteit:<\/p>\n\n\n\n De kwetsbaarheid maakt het mogelijk dat iemand die de Sigmative API-server of de bijbehorende opslag compromitteert, willekeurige scripts in ge\u00efnjecteerde pagina’s uitvoert. Bekijk de volledige kwetsbaarheidsregistratie voor de technische classificatie: Biggopti Library \u2013 Cross-Site Scripting via display_id from Sigmative API<\/a>.<\/p>\n\n\n\n Elke BdThemes-plugin die Biggopti gebruikt, laadt een client-side JavaScript-bestand tijdens Daarbij neemt de code wp-admin<\/code>-pagina.<\/p>\n\n\n\nGetroffen plugins en kwetsbaarheid<\/h2>\n\n\n\n
display_id<\/code> uit de Sigmative API, doordat de code uitvoer onvoldoende escapt.<\/p>\n\n\n\n\n\n
bdthemes-element-pack-lite<\/code>)<\/li>\n\n\nbdthemes-prime-slider-lite<\/code>)<\/li>\n\n\npixel-gallery<\/code>)<\/li>\n\n\nultimate-post-kit<\/code>)<\/li>\n\n\nultimate-store-kit<\/code>)<\/li>\n\n\nlive-copy-paste<\/code>)<\/li>\n\n\nsmart-admin-assistant<\/code>)<\/li>\n\n<\/ul>\n\n\n\nDe fout in de dashboardbanner<\/h2>\n\n\n\n
admin_init<\/code>. Daardoor draait het script onvoorwaardelijk bij iedere wp-admin<\/code>-paginalaadactie. Het script vraagt de bannergegevens op bij de API en bouwt vervolgens een HTML-notice in de DOM, de documentstructuur van de browser.<\/p>\n\n\n\ndisplay_id<\/code> uit het externe JSON-antwoord rechtstreeks op in een HTML-id<\/code>-attribuut. Die waarde krijgt geen client-side escaping. Het patroon komt neer op het volgende onveilige gedrag:<\/p>\n\n\n\n