Wordfence 报告 BdThemes 供应链通过 WordPress 管理提要遭到妥协

Why it matters

Plugin developers that fetch vendor-controlled promotional content inside `wp-admin` add that upstream system to the security boundary protecting logged-in administrators.

Selim Rana's BdThemes built its WordPress business by giving site owners a large catalog of design tools. A reported compromise of the infrastructure behind those products exposed the risk embedded in one shared feature: a promotional feed that ran inside customers' authenticated admin dashboards.

BleepingComputer, citing Wordfence researchers, reported Monday that an attacker obtained write access to a vendor-controlled storage bucket and replaced legitimate JSON records with malicious content。根据该报道，BdThemes 的插件获取了被投毒的提要并通过易受攻击的浏览器代码呈现它，允许 JavaScript 创建管理员账户并安装 webshell。

Rana founded BdThemes in 2012 in Bogura, Bangladesh. Sigmative's public materials say BdThemes moved under the Sigmative name in January 2025, expanding beyond its original collection of WordPress and Elementor products. That distribution gave Rana a sizable footprint: BdThemes says its products run across more than 350,000 active sites, while its flagship free plugin has more than 100,000 active installations verified by WordPress.org.

The same shared plumbing that helped BdThemes promote products across that footprint gave the attacker a centralized delivery channel, according to BleepingComputer's account of the Wordfence findings.

A promotional banner became privileged code

Wordfence researchers disclosed the compromise on August 8，这发生在通过 Wordfence 的 Web 应用防火墙检测到攻击后的一天。BleepingComputer 报道称，Biggop Library 为 BdThemes 的一个组件提供支撑，该组件从厂商的 API 检索促销横幅并在 WordPress 管理仪表盘中显示这些横幅。

BleepingComputer 引述研究人员的说法，报道称攻击者已获得对厂商控制的存储桶的写入权限。无需将恶意插件包通过 WordPress.org 仓库。无需通过更新就能到达客户。易受攻击的插件在登录的管理员访问 wp-admin 页面时加载远程提要，将恶意脚本置入经过身份验证的浏览器会话中。

根据 BleepingComputer 对 Wordfence 发现的描述，注入的 JavaScript 创建了未经授权的管理员账户。名为 w2.js 的有效载荷安装了包含 emer-run.php webshell 的假插件，而注入的代码还操纵了数据库查询以在正常用户列表中隐藏流氓账户。

Wordfence rated the underlying cross-site scripting vulnerability medium severity 因为要利用它首先需要妥协 BdThemes 的上游基础设施。一旦满足该条件，研究人员发现的有效载荷会提供管理员访问权限和远程代码执行。

One shared component expanded the blast radius

Wordfence identified several affected plugins, including Element Pack, Prime Slider, Pixel Gallery, Ultimate Post Kit and Ultimate Store Kit。BdThemes 在这些产品中使用了相同的 Biggop Library 和远程促销系统。

Element Pack directory listing 显示超过 100,000 个活跃安装。Wordfence's vulnerability records 将 Ultimate Post Kit 的活跃安装量估计为大约 30,000 个。BdThemes 更广泛的“超过 350,000 个活跃安装”的说法覆盖了其整个产品组合，应被视为潜在覆盖面的量度，而不是受感染站点的计数。

Wordfence 基于被投毒促销记录中的日期，将该活动可能的最早开始时间定为 6 月 23 日。研究人员在 8 月 7 日观察到了实战中的攻击。

该攻击还绕过了软件完整性检查背后的一个基本假设。从 WordPress.org 安装的包可以保持不变，而稍后从 BdThemes 基础设施获取的代码会使站点受到破坏。文件比较工具会看到合法的插件文件，即使管理员的浏览器在执行攻击者的 JavaScript。

这种设计选择对插件厂商具有特殊重要性。促销横幅是增长渠道，让 BdThemes 能在其控制的最有价值屏幕内推广升级和其他产品。远程加载这些横幅也使得营销系统成为每个使用该组件的管理员安全边界的一部分。

Wordfence 在发布其 8 月 8 日分析时将 Biggop Library 的漏洞列为未修补。客户仍然需要区分易受攻击的版本与已修复版本的版本级别信息，并说明如何识别受影响的安装。

BdThemes faces a trust repair job

Rana 花了十多年时间将 BdThemes 打造成在拥挤的 WordPress 和 Elementor 附加组件市场中具有识别度的供应商。此次妥协使得这一分发优势面临压力，因为客户必须评估跨共享相同管理组件的产品系列的安全性。

眼前的工程工作不仅限于阻止远程提要中的恶意内容。BdThemes 需要移除或正确转义攻击者控制的值，轮换可能授予对上游基础设施访问权限的凭据，审查包含该共享库的每个产品，并降低从安装插件之外获取内容的权限。管理员还需要区分易受攻击版本与已修复版本的版本级别指南。

执行该有效载荷的站点数量仍然是衡量影响的核心。活跃安装总数描述了可触及的人群，而成功感染则要求登录的管理员在被投毒响应可用时打开了仪表盘。在上游内容更改后，执行过该有效载荷的站点可能仍保留恶意账户或 webshell。

对 Rana 来说，恢复取决于使这种区分可见且可验证。BdThemes 通过在广泛的插件目录中集中推广产品而成长起来。要恢复信心，BdThemes 需要表明共享渠道已被重新设计、受影响的安装可以被识别，并且受到妥协的客户有具体的修复路径。