BdThemes插件泄露：WordPress供应链攻击事件

作为WordPress高级插件开发商，BdThemes遭遇供应链攻击，黑客入侵其基础设施并篡改远程JSON数据流（加载于WordPress管理面板）。这导致受影响网站在无需用户交互的情况下自动创建隐藏管理员账户。

安全研究公司Defiant于8月7日发现此次攻击。据其调查，黑客利用了Biggop Library库中的XSS漏洞（该库负责处理BdThemes API的JSON响应）。由于对*display_id*参数的过滤不足，允许注入任意JavaScript代码，并在每次打开WordPress管理面板时执行。

恶意代码通过修改WordPress数据库查询来隐藏创建的账户，使网站所有者几乎无法察觉。专家指出，此次攻击无需用户交互且不在文件系统中留下痕迹。WordPress.org团队为进行安全检查，已临时下架所有BdThemes插件。

Defiant报告显示，此次攻击最晚始于6月23日。尽管两个受影响的API端点现已返回干净数据，但BdThemes尚未发布官方声明。专家将此次攻击与之前入侵Advanced Responsive Video Embedder和OptinMonster插件的同一威胁组织联系起来。