根據網路安全公司 Wordfence 的研究報告，WordPress 插件開發商 BdThemes 近期遭遇了一次嚴重的供應鏈攻擊。這次攻擊最為特殊之處在於，攻擊者並未修改存放於 WordPress.org 官方儲存庫中的任何原始碼文件，而是透過污染遠端 API 傳輸的 JSON 資料，成功在大量網站中創造非法管理員帳號並植入後門。目前 WordPress 官方已暫時禁用受影響插件的下載，以進行全面審查。
背景與攻擊路徑
此次受影響的插件包括 Element Pack Addons for Elementor、Live Copy Paste 等多款工具，其中部分插件的安裝量超過十萬次。攻擊的核心在於 BdThemes 插件中內建的一個名為 Biggopti 的內部組件。該組件的功能是從開發商的 API 伺服器獲取促銷橫幅（Promotional Banners）的資訊，並將其顯示在 WordPress 的管理後台（wp-admin）中。
運作過程中，Biggopti 會從託管於 DigitalOcean Spaces 的儲存桶（Bucket）中抓取 JSON 格式的數據文件。然而，該組件在解析 JSON 回應時，對於 display_id 參數缺乏足夠的客戶端轉義（Escaping）處理，導致其存在跨站腳本攻擊（Cross-Site Scripting, XSS）漏洞。XSS 是一種常見的漏洞，允許攻擊者在目標網頁中注入惡意腳本，當使用者訪問該頁面時，瀏覽器會將其視為可信內容而執行。
核心技術運作方式
由於該促銷橫幅在管理員登入後的每個後台頁面都會被載入，攻擊者只要取得 BdThemes 雲端儲存桶的寫入權限，將合法的 JSON 回應替換為惡意載荷（Payload），就能在所有登入管理員的瀏覽器中靜默執行 JavaScript 程式碼。
研究人員發現，攻擊者主要使用了兩套不同的載荷方案。第一套方案透過 w2.js 腳本執行，其運作流程如下：首先與指令控制伺服器（C2 Server）通訊，確認目標網站是否需要攻擊；接著利用 WordPress REST API 創建一個非法管理員帳號；隨後下載並安裝一個偽裝成插件的 ZIP 檔，從而部署 PHP Web Shell（一種允許遠端執行指令的後門程式）。
為了確保長期控制權，該 Web Shell 會在 Must-Use plugins（mu-plugins，指強制執行的插件目錄）中安裝兩個持久化模組。其中一個是魔法登入後門（Magic-login Backdoor），允許攻擊者透過特定 URL 參數在無需驗證的情況下直接以管理員權限進入網站；另一個則是隱匿模組，它會攔截 WordPress 的資料庫查詢，將非法管理員帳號從使用者列表中隱藏，甚至修改顯示的總人數，讓網站管理員無法察覺異樣。
另一套方案則使用 x.js 腳本，其特點在於生成確定性（Deterministic）的管理員憑據。該演算法根據目標網站的主機名稱（Hostname），透過數學運算產生可預測的使用者名稱與密碼。這種做法讓攻擊者無需在伺服器端儲存龐大的受害者清單，只要知道域名，就能直接計算出對應的登入資訊。
影響、限制與實務意義
此次攻擊顯示出供應鏈攻擊的演進：攻擊者不再專注於修改軟體版本，而是針對軟體運行時依賴的外部資料流進行污染。由於不觸發檔案變更，傳統的檔案完整性檢查或版本對比工具難以偵測此類威脅。
從安全維運的角度來看，這次事件揭示了兩個關鍵風險。首先是雲端儲存權限的管理漏洞，攻擊者能直接修改儲存桶內容，意味著 BdThemes 的內部基礎設施或憑據已遭洩漏。其次是前端解析邏輯的疏忽，即便 API 傳輸的是資料而非程式碼，若前端對資料的處理不夠嚴謹，依然會將資料轉化為可執行的攻擊向量。
此外，此次攻擊的 C2 伺服器被認為與先前針對 Advanced Responsive Video Embedder 及 OptinMonster 的攻擊有關，顯示出這是一個有組織且目標明確的長期行動，旨在於大量 WordPress 環境中建立隱蔽的遠端執行能力。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。