100.000 WordPress-sites bevatten plug-in-lek dat aanvaller admin maakt