Уязвимость Bricksforge позволяет выполнять код без авторизации
CVE-2026-85097 позволяет без аутентификации загружать произвольные файлы и выполнять код на сервере через плагин WordPress Bricksforge. Уязвимость затрагивает загрузку файлов в Pro Forms и получила оценку CVSS 10,0.
Как устроена эксплуатация
Сценарий начинается с получения nonce через неаутентифицированную AJAX-точку входа bricksforge_regenerate_nonce. Затем злоумышленник загружает полиглот GIF/PHP или похожий файл image/PHP. Такой файл проходит проверки формата изображения и MIME-типа, но содержит исполняемый код PHP.
Уязвимость связана с тем, что Bricksforge не проверяет поле url в параметре temporaryFileUploads при обработке отправки формы. Злоумышленник указывает в серверном поле файла легитимный путь к изображению, а в поле url задаёт PHP-файл как место назначения. Bricksforge копирует туда загруженное содержимое, и при обращении к файлу веб-сервер выполняет встроенный PHP-код.
Большинство зафиксированных попыток направляли на POST /wp-json/bricksforge/v1/form_submit. Одна попытка использовала /wp-admin/admin-ajax.php с действием bricksforge_form_submit. Для исходных путей злоумышленники применяли расширения изображений .gif и .png, а в качестве назначений использовали PHP-расширения:
- .php
- .php5
- .php7
- .phtml
- .pht
- .phps
Варианты запросов включали манипуляции с регистром, URL-кодирование и двойное кодирование, а также изменение метаданных загрузки. Некоторые попытки были нацелены на файлы с именами вида login_admin_*.php в стандартных каталогах загрузки WordPress.
Зафиксированная активность и рекомендации
Patchstack зафиксировала начало эксплуатации 7 октября 2026 года. В ходе активности задействовали 63 исходных IP-адреса из облачной инфраструктуры, дата-центров, прокси-серверов, VPN-сетей и резидентной инфраструктуры. Кластеризация указывает на автоматизированную эксплуатацию с использованием распределённой или ротационной инфраструктуры. Конкретная атрибуция злоумышленника не установлена.
Успешная эксплуатация может привести к установке веб-шеллов, модификации сайтов, краже конфиденциальных данных и закреплению в системе. Авторы отчёта рекомендуют обновить Bricksforge до версии 3.1.8.10 или более поздней, а также проверить журналы и каталоги загрузок на подозрительные PHP-файлы и связанные с ними отправки форм.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
