标签： JSON 投毒

网络安全研究人员披露了影响 WordPress 插件厂商 BdThemes 的供应链攻击事件。该攻击并未修改 WordPress.org 官方仓库中的源代码，而是通过投毒管理促销横幅组件（Biggopti）所拉取的远程静态 JSON 数据流，利用 Sigmative API 中 “display_id” 参数的跨站脚本（XSS）漏洞（CVSS 评分 5.4），在管理员每次访问 wp-admin 页面时静默执行恶意脚本，创建恶意管理员账户并上传 Web Shell 插件。