Wordfence、WordPress管理画面のフィード経由でのBdThemesサプライチェーン侵害を報告
Wordfenceは、攻撃者がベンダー管理のJSONフィードを改ざんした後、WordPressのダッシュボード内でBdThemesのプロモーションシステムを通じて配信された悪意のあるコードを報告した。
By Ryan Merket · Published
Primary source: BleepingComputer
なぜ重要なのか
プラグイン開発者が wp-admin 内でベンダーが管理するプロモーションコンテンツを取得すると、その上流システムがログイン済み管理者を保護するセキュリティ境界に組み込まれることになる。
Selim Ranaの BdThemesは、サイト所有者に多数のデザインツールを提供することでWordPressビジネスを構築した。これらの製品の背後にあるインフラの侵害が報告され、その共有機能の1つである、顧客の認証済み管理ダッシュボード内で動作するプロモーションフィードに埋め込まれたリスクが露呈した。
BleepingComputerはWordfenceの研究者を引用して、攻撃者がベンダー管理のストレージバケットへの書き込みアクセスを取得し、正当なJSONレコードを悪意あるコンテンツに置き換えたと月曜に報じた。その報告によれば、BdThemesのプラグインは毒されたフィードを取得し、脆弱なブラウザコードを通じてレンダリングしたため、JavaScriptが管理者アカウントを作成しウェブシェルをインストールできるようになったという。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.