Nhiều plugin WordPress của BdThemes bị tấn công chuỗi cung ứng
"A supply chain compromise affected multiple BdThemes WordPress plugins after attackers poisoned a remote JSON feed used by an admin banner component, enabling XSS in wp-admin without modifying repository source files. The injected payload created rogue administrator accounts, installed a web shell and persistence modules, and in one variant generated deterministic admin credentials; the issue was rated CVSS 5.4 and the affected plugins were temporarily disabled pending review."
Ảnh hưởng trực tiếp đến wp-admin, có thể dẫn tới chiếm quyền quản trị và duy trì truy cập trái phép trên website WordPress.
Có thể gây gián đoạn vận hành, phát sinh rủi ro rò rỉ dữ liệu và tốn nguồn lực kiểm tra, khôi phục các site dùng plugin bị ảnh hưởng.
Các nhà nghiên cứu an ninh đã phát hiện một tấn công chuỗi cung ứng ảnh hưởng đến nhiều plugin WordPress của BdThemes, khiến nhóm phụ trách plugin trên WordPress tạm thời vô hiệu hóa tải xuống để rà soát. Điểm đáng chú ý là kẻ tấn công không sửa mã nguồn trong kho chính thức, mà đầu độc một luồng JSON từ xa được thành phần banner quản trị sử dụng.
Lỗ hổng nằm trong Biggopti, một thành phần đi kèm plugin, cho phép khai thác XSS trong wp-admin do xử lý đầu ra chưa đủ an toàn. Khi quản trị viên đăng nhập truy cập trang quản trị, mã độc có thể chạy âm thầm, tạo tài khoản quản trị giả, cài web shell và thêm cơ chế duy trì truy cập. Một biến thể khác tạo thông tin đăng nhập có thể dự đoán dựa trên hostname của website.
Mức độ rủi ro được đánh giá CVSS 5.4. Các plugin bị ảnh hưởng gồm Element Pack, Live Copy Paste, Pixel Gallery, Prime Slider, Smart Admin Assistant, Ultimate Post Kit và Ultimate Store Kit. Khuyến nghị: kiểm tra tài khoản quản trị, rà soát mu-plugins và plugin lạ, đối chiếu log truy cập API, đồng thời cập nhật hoặc gỡ bỏ các plugin liên quan sau khi có bản phát hành đã được xác minh.