Seorang pelaku ancaman telah membobol infrastruktur hulu BdThemes, pengembang perangkat lunak desain web WordPress premium, dan memodifikasi umpan JSON jarak jauh yang dikirim ke peramban administrator untuk membuat akun admin palsu.

Mulai hari Sabtu, produk BdThemes yang terdampak tidak lagi tersedia untuk diunduh setelah tim Plugin WordPress menutup semuanya sambil menunggu tinjauan lengkap.

BdThemes menyediakan plugin WordPress premium, termasuk Element Pack, Prime Slider, Ultimate Post Kit, Pixel Gallery, dan Ultimate Store Kit.

Plugin gratis andalannya, Element Pack, saat ini memiliki lebih dari 100.000 instalasi aktif di WordPress.org, sementara pengembangnya mengiklankan portofolio dengan lebih dari 350.000 instalasi aktif .

Perusahaan keamanan WordPress, Defiant, mulai mendeteksi serangan melalui firewall aplikasi web (WAF) Wordfence miliknya pada tanggal 7 Agustus.

Para peneliti mengatakan bahwa penyerang "meracuni aliran data JSON jarak jauh statis yang diambil oleh komponen banner promosi administratif" setelah memperoleh akses tulis ke bucket penyimpanan vendor.

Menurut para peneliti, pengembang plugin telah memasukkan kerentanan cross-site scripting (XSS) dalam kode penguraian respons JSON, yang memungkinkan penyerang untuk mengganti JSON promosi yang sah dengan kode berbahaya yang mengeksploitasi masalah keamanan tersebut.

Para peneliti melaporkan bahwa serangan tersebut dimungkinkan oleh celah kode yang diperkenalkan pada Maret 2026 dalam kode penguraian respons JSON, yang menciptakan kerentanan cross-site scripting (XSS) dalam infrastruktur BdThemes.

Kelemahannya terletak pada pustaka Biggop yang digunakan oleh komponen Biggopti yang bertanggung jawab untuk mendapatkan banner promosi dari server API vendor dan menampilkannya di dasbor admin WordPress pelanggan.

Sebuah laporan dari Defiant menjelaskan bahwa injeksi JavaScript berbahaya tersebut menggunakan sesi terautentikasi administrator yang sah untuk membuat akun admin palsu di situs yang terdampak, sementara muatan tambahan (w2.js) membangun persistensi melalui webshell (emer-run.php) dengan menginstal plugin palsu.

“Pustaka Biggop rentan terhadap Cross-Site Scripting melalui parameter 'display_id' dari API Sigative di berbagai versi karena escaping output yang tidak memadai,”

Masalah tersebut diberi skor tingkat keparahan "sedang", dan laporan Defiant menyebutkan bahwa masalah tersebut belum ditambal hingga saat publikasi.

Karena serangan ini sepenuhnya berbasis API, tidak memerlukan interaksi, modifikasi file, atau pembaruan plugin, maka serangan ini sepenuhnya tersembunyi, dan muatan berbahaya dieksekusi setiap kali administrator yang masuk membuka halaman wp-admin.

Kode yang disuntikkan memanipulasi kueri basis data WordPress untuk menyembunyikan akun administrator jahat dari daftar pengguna, sehingga menyulitkan deteksi pelanggaran keamanan.

Para peneliti Wordfence dari Defiant mengatakan bahwa laporan yang menyebutkan infrastruktur komando dan kontrol (C2) yang digunakan dalam serangan yang diamati mengarah pada penyerang yang sama di balik

Setelah menemukan serangan tersebut, para peneliti menganalisis catatan yang tersedia dan menentukan bahwa awal mula kampanye tersebut kemungkinan besar adalah tanggal 23 Juni.

Plugin yang terpengaruh telah dihapus dari direktori WordPress.org pada tanggal 8 Agustus, sambil menunggu penyelidikan, sementara dua endpoint API yang bermasalah sekarang mengembalikan data JSON yang bersih.

Saat artikel ini ditulis, vendor tersebut belum menerbitkan pernyataan resmi mengenai insiden tersebut di situs webnya.

BleepingComputer telah menghubungi BdThemes untuk meminta pernyataan, tetapi kami belum menerima tanggapan.