Aktivno se zloupotrebljava kritičan propust u Bricksforge dodatku
Kritična ranjivost CVE-2026-85097, ocenjena sa CVSS 10.0, aktivno se zloupotrebljava u dodatku Bricksforge za WordPress. Pogađa izdanja do verzije 3.1.8.9 i neautentifikovanom napadaču može omogućiti otpremanje i izvršavanje proizvoljnog PHP koda, odnosno udaljeno izvršavanje koda na ranjivom sajtu. Zakrpa je objavljena u verziji 3.1.8.10, dok se korisnicima preporučuje nadogradnja na najnovije izdanje 4.0.1.
Bricksforge je dodatak za Bricks, vizuelni alat za izradu WordPress sajtova, sa funkcijama za animacije, napredne obrasce i video sekvence pri skrolovanju. Patchstack je prve pokušaje eksploatacije zabeležio 7. oktobra 2026. u 21:47 UTC.
Kako nastaje mogućnost izvršavanja PHP koda
Bricksforge pri početnom otpremanju proverava MIME tip datoteke. Međutim, pri kasnijem slanju obrasca oslanja se na metapodatke koje dostavlja klijent i nedovoljno proverava polje url u parametru temporaryFileUploads. Upravo taj nesklad omogućava da putanja do proverene slike i URL odredišta sa PHP ekstenzijom ne odgovaraju jedno drugom.
Napad započinje pribavljanjem važećeg nonce tokena preko neautentifikovane AJAX krajnje tačke bricksforge_regenerate_nonce. Zatim se u privremeni direktorijum postavlja GIF/PHP poliglot: datoteka koja je istovremeno ispravna slika i sadrži PHP kod. Prilikom slanja obrasca napadač zadržava putanju do te slike, ali u kontrolisanom URL polju navodi naziv koji se završava PHP ekstenzijom.
Server tada sadržaj slike smešta na lokaciju koja se može pozvati kao PHP datoteka. Posledica može biti izvršavanje ubačenog koda, preuzimanje kontrole nad WordPress sajtom, postavljanje web školjke, čitanje osetljivih podataka i uspostavljanje trajnog pristupa.
Uočeni obrasci napada i provera okruženja
Patchstack je video zahteve ka REST krajnjoj tački /wp-json/bricksforge/v1/form_submit i ka /wp-admin/admin-ajax.php sa akcijom bricksforge_form_submit. Napadači su koristili parametar temporaryFileUploads, pri čemu je argument datoteke upućivao na GIF ili PNG, a URL na PHP sadržaj.
Zaobilaženje filtriranja uključivalo je ekstenzije poput .php5, .php7 i .phtml, promenu velikih i malih slova, kao i kodirane varijante ekstenzija. Telemetrija je zabeležila 63 jedinstvene izvorne IP adrese; u jednom klasteru 44 IP adrese poslale su 56 zahteva sa istovetnim sadržajem u razmaku od nekoliko sekundi, a u drugom su tri IP adrese isprobale 25 varijanti ekstenzija i kodiranja nad istom privremenom datotekom.
Praktične mere za vlasnike WordPress sajtova
Prioritet je nadogradnja Bricksforge dodatka na verziju 4.0.1. Zatim treba pregledati dolazne zahteve ka krajnjoj tački za slanje obrazaca koji sadrže temporaryFileUploads, ponovljena slanja obrazaca i neuobičajene PHP datoteke u direktorijumu /wp-content/uploads/bricksforge/tmp/.
Ovaj slučaj pokazuje da ažuriranje smanjuje prostor za novu eksploataciju, ali da pregled tragova na serveru ostaje neophodan kada je zloupotreba već zabeležena. Za poslovne WordPress instance razumno je spojiti hitno ažuriranje sa proverom logova, privremenih direktorijuma i promena koje mogu ukazati na raniji upad.