📰 Informação fresquinha chegando para você!
A notícia que você procurava está aqui!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética alertaram sobre um comprometimento da cadeia de suprimentos que afeta o fornecedor de plug-ins WordPress, BdThemes, levando a equipe de plug-ins da plataforma de sistemas de gerenciamento de conteúdo (CMS) a desativar temporariamente seus downloads.
“Ao contrário dos ataques tradicionais à cadeia de suprimentos de software, nenhum arquivo de código-fonte foi modificado no repositório oficial do WordPress.org”, disse o pesquisador do Wordfence, Paolo Tresso. “Em vez disso, os agentes da ameaça envenenaram um fluxo de dados JSON remoto e estático obtido por um componente administrativo de banner promocional.”
A lista de plug-ins afetados está abaixo –
Complementos Element Pack para Elementor – Widgets Elementor, modelos Elementor, complementos Elementor [bdthemes-element-pack-lite] - mais de 100.000 instalações ativas
Live Copy Paste para Elementor – Cross Domain Copy Paste e Page Duplicator [live-copy-paste] - mais de 6.000 instalações ativas
Complementos da Pixel Gallery para Elementor – Easy Grid, Creative Gallery, Drag and Drop Grid, Custom Grid Layout, Portfolio Gallery [pixel-gallery] - N/A
Complementos Prime Slider para Elementor – Widgets, modelos e complementos Elementor [bdthemes-prime-slider-lite] - N/A
Smart Admin Assistant – Melhorias no painel e no site [smart-admin-assistant] - N/A
Complementos Ultimate Post Kit para Elementor [ultimate-post-kit] - N/A
Ultimate Store Kit – Addon para WooCommerce, EDD e Elementor [ultimate-store-kit] – mais de 6.000 instalações ativas
Os usuários que visitam as listagens de cada um dos plug-ins mencionados no diretório de plug-ins do WordPress recebem a mensagem de que foram fechados em 7 ou 8 de agosto de 2026 e não estão disponíveis para download enquanto se aguarda uma “revisão completa”.
O problema, segundo a empresa de segurança do WordPress, está enraizado em um componente interno chamado Biggopti, enviado junto com os plug-ins. O sistema foi projetado para extrair banners promocionais de seu servidor API e renderizá-los no painel de administração do WordPress, buscando arquivos JSON relevantes de um bucket do DigitalOcean Spaces.
A biblioteca foi considerada vulnerável a uma falha de script entre sites (XSS) no código de análise de resposta JSON por meio do parâmetro "display_id" da API Sigmative devido ao escape insuficiente do lado do cliente. Como resultado, um invasor que possa comprometer a API pode injetar scripts da Web arbitrários em páginas que são executadas sempre que um usuário acessa essas páginas.
Como o script é executado a cada carregamento de página “wp-admin”, o código injetado é ativado silenciosamente no navegador de qualquer administrador conectado. A vulnerabilidade é classificada como 5,4 no sistema de pontuação CVSS, indicando gravidade média.
Diz-se que a mudança foi introduzida pela primeira vez em 1º de março de 2026, em “bdthemes-prime-slider-lite” antes de ser aplicada a outros. O ataque é notável porque é totalmente conduzido pela API e não requer atualizações de plug-ins ou modificação de arquivos no disco.
“Atores desonestos obtiveram acesso de gravação a esse bucket, substituindo as respostas JSON legítimas por cargas criadas para explorar essa vulnerabilidade”, disse Wordfence. "O XSS é acionado dentro do navegador de cada administrador conectado, silenciosamente, em cada carregamento de página wp-admin. A partir daí, o script injetado cria contas de administrador não autorizadas, carrega um plug-in de web shell e liga para um servidor de comando e controle (C2). "
A carga principal é entregue aos plug-ins usando o endpoint da API "api-data-all-records". Um arquivo JavaScript chamado "w2.js", a carga executa as seguintes ações -
Entra em contato com o servidor C2 ("ia-cdn[.]com/fz/c") com a origem do site da vítima para obter instruções de segmentação. A execução é abortada se o servidor C2 retornar o status "skip" ou "done".
Cria um novo administrador não autorizado por meio da API REST do WordPress.
Baixa um plugin ZIP falso do servidor C2 e o instala por meio do formulário de upload de plugin padrão, resultando na implantação de um web shell PHP ("emer-run.php").
Invoca o web shell para instalar dois módulos de persistência no diretório de plug-ins obrigatórios ("mu-plugins"): um é um "backdoor de login mágico" que permite entrada administrativa não autenticada por meio de um parâmetro de URL (?_wplogin=) visando o administrador registrado há mais tempo do site e o outro é um módulo furtivo anti-análise que se conecta a consultas de banco de dados do WordPress para ocultar a presença de contas de usuários não autorizados da lista de usuários administrativos e exibir o contagem total de usuários, excluindo-os.
Uma carga alternativa ("x.js") encontrada hospedada na infraestrutura do desenvolvedor do plug-in é servida às vítimas usando o endpoint da API "api-data-records". Ele foi projetado para gerar credenciais administrativas “determinísticas” que são derivadas matematicamente do nome de host do site da vítima.
“Este algoritmo produz nomes de usuário previsíveis (bd_ seguido por um hash base36 de 6 caracteres) e senhas (Bd@26! seguido pelo hash ex), emparelhando-os com um endereço de e-mail @wordpress.org”, disse Wordfence. “Porque as credenciais
“Ao contrário dos ataques tradicionais à cadeia de suprimentos de software, nenhum arquivo de código-fonte foi modificado no repositório oficial do WordPress.org”, disse o pesquisador do Wordfence, Paolo Tresso. “Em vez disso, os agentes da ameaça envenenaram um fluxo de dados JSON remoto e estático obtido por um componente administrativo de banner promocional.”
A lista de plug-ins afetados está abaixo –
Complementos Element Pack para Elementor – Widgets Elementor, modelos Elementor, complementos Elementor [bdthemes-element-pack-lite] - mais de 100.000 instalações ativas
Live Copy Paste para Elementor – Cross Domain Copy Paste e Page Duplicator [live-copy-paste] - mais de 6.000 instalações ativas
Complementos da Pixel Gallery para Elementor – Easy Grid, Creative Gallery, Drag and Drop Grid, Custom Grid Layout, Portfolio Gallery [pixel-gallery] - N/A
Complementos Prime Slider para Elementor – Widgets, modelos e complementos Elementor [bdthemes-prime-slider-lite] - N/A
Smart Admin Assistant – Melhorias no painel e no site [smart-admin-assistant] - N/A
Complementos Ultimate Post Kit para Elementor [ultimate-post-kit] - N/A
Ultimate Store Kit – Addon para WooCommerce, EDD e Elementor [ultimate-store-kit] – mais de 6.000 instalações ativas
Os usuários que visitam as listagens de cada um dos plug-ins mencionados no diretório de plug-ins do WordPress recebem a mensagem de que foram fechados em 7 ou 8 de agosto de 2026 e não estão disponíveis para download enquanto se aguarda uma “revisão completa”.
O problema, segundo a empresa de segurança do WordPress, está enraizado em um componente interno chamado Biggopti, enviado junto com os plug-ins. O sistema foi projetado para extrair banners promocionais de seu servidor API e renderizá-los no painel de administração do WordPress, buscando arquivos JSON relevantes de um bucket do DigitalOcean Spaces.
A biblioteca foi considerada vulnerável a uma falha de script entre sites (XSS) no código de análise de resposta JSON por meio do parâmetro "display_id" da API Sigmative devido ao escape insuficiente do lado do cliente. Como resultado, um invasor que possa comprometer a API pode injetar scripts da Web arbitrários em páginas que são executadas sempre que um usuário acessa essas páginas.
Como o script é executado a cada carregamento de página “wp-admin”, o código injetado é ativado silenciosamente no navegador de qualquer administrador conectado. A vulnerabilidade é classificada como 5,4 no sistema de pontuação CVSS, indicando gravidade média.
Diz-se que a mudança foi introduzida pela primeira vez em 1º de março de 2026, em “bdthemes-prime-slider-lite” antes de ser aplicada a outros. O ataque é notável porque é totalmente conduzido pela API e não requer atualizações de plug-ins ou modificação de arquivos no disco.
“Atores desonestos obtiveram acesso de gravação a esse bucket, substituindo as respostas JSON legítimas por cargas criadas para explorar essa vulnerabilidade”, disse Wordfence. "O XSS é acionado dentro do navegador de cada administrador conectado, silenciosamente, em cada carregamento de página wp-admin. A partir daí, o script injetado cria contas de administrador não autorizadas, carrega um plug-in de web shell e liga para um servidor de comando e controle (C2). "
A carga principal é entregue aos plug-ins usando o endpoint da API "api-data-all-records". Um arquivo JavaScript chamado "w2.js", a carga executa as seguintes ações -
Entra em contato com o servidor C2 ("ia-cdn[.]com/fz/c") com a origem do site da vítima para obter instruções de segmentação. A execução é abortada se o servidor C2 retornar o status "skip" ou "done".
Cria um novo administrador não autorizado por meio da API REST do WordPress.
Baixa um plugin ZIP falso do servidor C2 e o instala por meio do formulário de upload de plugin padrão, resultando na implantação de um web shell PHP ("emer-run.php").
Invoca o web shell para instalar dois módulos de persistência no diretório de plug-ins obrigatórios ("mu-plugins"): um é um "backdoor de login mágico" que permite entrada administrativa não autenticada por meio de um parâmetro de URL (?_wplogin=
Uma carga alternativa ("x.js") encontrada hospedada na infraestrutura do desenvolvedor do plug-in é servida às vítimas usando o endpoint da API "api-data-records". Ele foi projetado para gerar credenciais administrativas “determinísticas” que são derivadas matematicamente do nome de host do site da vítima.
“Este algoritmo produz nomes de usuário previsíveis (bd_ seguido por um hash base36 de 6 caracteres) e senhas (Bd@26! seguido pelo hash ex), emparelhando-os com um endereço de e-mail @wordpress.org”, disse Wordfence. “Porque as credenciais
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #ataque #à #cadeia #de #suprimentos #bdthemes #envenena #json #para #criar #administradores #de #wordpress #desonestos
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário