Defiant zufolge verschaffte sich der Angreifer Schreibzugriff auf den Storage-Bucket des Herstellers und „vergiftete einen statischen entfernten JSON-Datenstrom, der von einer administrativen Komponente für Werbebanner abgerufen wird“. Dadurch konnte legitimer Werbeinhalt durch schädlichen Code ersetzt werden, der beim Aufruf von Verwaltungsseiten ausgeführt wurde.
Die Forscher führen den Angriff auf einen Programmierfehler zurück, den der Plugin-Entwickler im März 2026 in den Code zum Parsen der JSON-Antwort eingeführt hatte. Dieser Fehler erzeugte eine Cross-Site-Scripting-Schwachstelle in der BdThemes-Infrastruktur. Betroffen ist die Biggop Library, die in der Biggopti-Komponente verwendet wird, welche Werbebanner vom API-Server des Herstellers abruft und im WordPress-Admin-Dashboard der Kunden anzeigt.
Wie Wordfence erklärt, ist „die Biggop Library in verschiedenen Versionen über den Parameter ‚display_id‘ der Sigmative-API für Cross-Site Scripting anfällig, weil die Ausgabe nicht ausreichend maskiert wird“. Dadurch werde es Angreifern, die den Sigmative-API-Server kompromittieren können, möglich, beliebige Webskripte in Seiten einzuschleusen, die dann bei jedem Aufruf einer präparierten Seite ausgeführt werden.
Laut Defiant nutzte die bösartige JavaScript-Injektion die bereits authentifizierte Sitzung eines legitimen Administrators, um auf betroffenen Seiten unerlaubte Administrator-Konten anzulegen. Eine zusätzliche Nutzlast mit der Bezeichnung w2.js sorgte dem Bericht zufolge über eine Webshell namens emer-run.php für Persistenz, indem ein gefälschtes Plugin installiert wurde. Zudem manipulierte der eingeschleuste Code WordPress-Datenbankabfragen so, dass die angelegten Administrator-Konten in der Benutzerliste verborgen blieben.
Die Angriffe gelten den Forschern zufolge als besonders unauffällig, weil sie vollständig API-gesteuert ablaufen und weder Benutzerinteraktion noch Dateimodifikationen oder Plugin-Updates erfordern. Die Nutzlast werde jedes Mal ausgeführt, wenn ein angemeldeter Administrator eine wp-admin-Seite öffnet.
Defiant begann am 7. August, die Angriffe über die Wordfence-Web-Application-Firewall zu beobachten. Nach der Entdeckung werteten die Forscher verfügbare Datensätze aus und kamen zu dem Schluss, dass die Kampagne frühestens am 23. Juni begonnen haben kann. Die Schwachstelle wird in dem Bericht mit mittlerem Schweregrad eingestuft und war zum Veröffentlichungszeitpunkt laut Defiant noch ungepatcht.
Am 8. August wurden die betroffenen Plugins zur Untersuchung aus dem WordPress.org-Verzeichnis entfernt. Zwei vergiftete API-Endpunkte liefern inzwischen wieder saubere JSON-Daten. Defiant berichtet außerdem, dass Hinweise aus der in den beobachteten Angriffen verwendeten Command-and-Control-Infrastruktur auf denselben Akteur deuten wie bei den jüngsten Supply-Chain-Kompromittierungen von Advanced Responsive Video Embedder und OptinMonster.
Eine offizielle Stellungnahme von BdThemes lag zum Zeitpunkt des Berichts nicht vor. BleepingComputer erklärte, den Hersteller kontaktiert zu haben, jedoch keine Antwort erhalten zu haben.