BdThemesのWordPressプラグインの配布インフラが攻撃を受け、管理画面に悪意のあるコードがインジェクションされた。この攻撃は、Element Packなどの人気プラグインのユーザーを対象に、管理者アカウントを作成するために使用された。攻撃は、JSONデータストリームが悪意のあるコードで汚染されることで実行され、Wordfenceセキュリティチームによって検知された。

攻撃は、2026年3月にBiggop Libraryで検出されたXSS（クロスサイトスクリプティング）の脆弱性を利用して実行された。この脆弱性により、攻撃者は管理画面に悪意のあるコードをインジェクションし、隠し管理者アカウントを作成することができた。攻撃はAPIベースであったため、ユーザーの操作やファイルの変更は不要で、管理画面が開かれた際に自動的に実行された。

この攻撃により、WordPress.orgはプラグインの配布を停止し、調査を行った。現在、攻撃に影響を受けたAPIエンドポイントは、クリーンなJSONデータを返している。しかし、BdThemesは公式な声明を出しておらず、攻撃がどのように実行されたかについて詳細な情報を提供していない。