Cenueshmëria e Bricksforge po shfrytëzohet për remote code execution
Sipas telemetrisë së Patchstack, cenueshmëria e Bricksforge e gjurmuar si CVE-2026-85097 po shfrytëzohet aktivisht për të ekzekutuar në faqet WordPress kod të kontrolluar nga sulmuesit. Defekti ka një rezultat CVSS prej 10.0, vlerësimi më i lartë në shkallën standarde të ashpërsisë së cenueshmërive. Ai prek versionet e Bricksforge deri te 3.1.8.9, përfshirë këtë version, dhe është rregulluar në versionin 3.1.8.10. Patchstack e vëzhgoi për herë të parë shfrytëzimin më 7 tetor 2026, në orën 21:47:17 UTC.
Bricksforge zgjeron Bricks Builder, një mjet vizual për ndërtimin e faqeve për WordPress. Ai shton formularë të avancuar, animacione, ndërveprime të personalizuara, menaxhim dinamik të të dhënave dhe personalizim të backend. Komponenti i cenueshëm mund të aksesohet pa autentikim, që do të thotë se sulmuesit nuk i nevojitet llogari ose fjalëkalim. Problemi është një arbitrary file upload vulnerability, një dobësi që i lejon sulmuesit të vendosë në faqen e internetit një skedar sipas zgjedhjes së vet. Në këtë rast, skedari i ngarkuar mund të çojë në remote code execution (RCE), që do të thotë ekzekutim komandash ose programesh në server nga një vendndodhje tjetër.
Sulmi funksionon sepse Bricksforge e kontrollon një skedar në një fazë, por në një fazë të mëvonshme u beson informacioneve të dhëna nga sulmuesi. Gjatë ngarkimit fillestar, plugin verifikon MIME type të skedarit, një etiketë që përshkruan nëse skedari është imazh, dokument apo një lloj tjetër përmbajtjeje. Megjithatë, kur më pas dërgohet një formular, ai nuk e verifikon siç duhet fushën url brenda parametrit temporaryFileUploads.
Sulmuesi fillimisht mund të kërkojë një nonce të vlefshëm nga endpoint AJAX bricksforge_regenerate_nonce, i cili nuk kërkon autentikim. Një nonce është një vlerë jetëshkurtër që synon të tregojë se një kërkesë është legjitime, ndërsa AJAX është një metodë që faqet përdorin për të shkëmbyer të dhëna pa ringarkuar të gjithë faqen. Më pas, sulmuesi ngarkon një GIF/PHP polyglot, një skedar të vetëm që pranohet si imazh GIF, por që përmban edhe PHP, gjuhën e programimit që përdoret zakonisht për funksionimin e WordPress. Meqë skedari duket si imazh, ai e kalon kontrollin e MIME type dhe hyn në direktorinë e përkohshme të ngarkimeve të Bricksforge.
Më pas, sulmuesi dërgon një formular ku shtegu server-side i skedarit vazhdon të tregojë te imazhi i miratuar, ndërsa URL-ja e dhënë si destinacion përfundon me një extension PHP. Bricksforge u beson këtyre metadata dhe e shkruan përmbajtjen e skedarit në destinacionin PHP. Kërkimi i skedarit të krijuar bën që serveri të ekzekutojë kodin e integruar në të. Patchstack e identifikoi përpunimin përkatës në bricksforge/includes/elements/pro-forms/actions/init.php dhe bricksforge/includes/elements/pro-forms/actions/base.php.
Shfrytëzimi me sukses i jep sulmuesit arbitrary PHP execution. Patchstack thotë se ky akses mund të përdoret për të instaluar web shells, skedarë keqdashës që sigurojnë kontroll të vazhdueshëm nga larg, për të ndryshuar përmbajtjen e faqes, për të lexuar informacione të ndjeshme dhe për të ruajtur akses të qëndrueshëm në faqe.
Të gjitha përpjekjet e regjistruara nga Patchstack, me përjashtim të njërës, synuan endpoint e Bricksforge REST API për dërgimin e formularëve në POST /wp-json/bricksforge/v1/form_submit. Një REST API është një ndërfaqe përmes së cilës një software i dërgon kërkesa të strukturuara një aplikacioni tjetër. Kërkesa e mbetur përdori /wp-admin/admin-ajax.php me veprimin bricksforge_form_submit. Çdo kërkesë përmbante një parametër temporaryFileUploads të manipuluar.
Modeli përcaktues ishte mospërputhja midis shtegut të një skedari imazhi dhe një destinacioni PHP. Në 95% të kërkesave të regjistruara, shtegu server-side përfundonte me .gif ose .png, ndërsa shumica e këtyre kërkesave e çiftonin atë me një URL destinacioni të lidhur me PHP. Shumica e skedarëve drejtoheshin përmes /wp-content/uploads/bricksforge/tmp/. Disa përpjekje përdorën emra skedarësh që përputheshin me login_admin_*.php dhe synonin t'i vendosnin në dosjet e zakonshme të ngarkimeve të WordPress, përfshirë /wp-content/uploads/2026/10/.
Sulmuesit ndryshuan gjithashtu payloads e tyre për të provuar mënyra të mundshme për anashkalimin e filtrave të extension. Patchstack regjistroi .php, .php5, .php7, .php8, .phtml, .pht, .phtm dhe .phps, së bashku me forma me kombinime shkronjash të mëdha e të vogla, si .PHP, .Php, .pHp dhe .PHTML. Përpjekjet përfshinin forma URL-encoded dhe double-encoded, si %2ephp, .%70hp dhe .%2570%2568%2570. Kërkesa të tjera ndryshuan ose hoqën fushat path, name, originalFilename dhe url për të shqyrtuar se si plugin trajtonte metadata të paplota ose të manipuluara.
Telemetria e Patchstack tregon shenja automatizimi të koordinuar. Një grup përfshinte 44 adresa IP që dërguan 56 kërkesa identike brenda pak sekondash. Një tjetër përfshinte tri adresa që provuan 25 variante të extension dhe encoding kundër të njëjtit skedar të përkohshëm. Patchstack tha se këto modele përputheshin me aktivitet të automatizuar që përdorte proxies rrotulluese ose infrastrukturë të shpërndarë, por nuk ishin të mjaftueshme për t'ia atribuar fushatën një aktori të vetëm kërcënimi.
Në total, Patchstack regjistroi 63 adresa IP burimi unike. Gjashtë më aktivet gjeneruan rreth 46% të të gjitha kërkesave: 177.75.57.20 në EXPLORERNET, një ISP brazilian i linjave fikse; 23.97.62.146 në Microsoft Azure; 84.247.60.125 në HostRoyale; 38.154.185.97 në B2 Net Solutions; 150.109.16.166 në Tencent; dhe 153.75.90.146 në Cloudzy. AbuseIPDB shfaqte përkatësisht 8, më shumë se 1,270, 12, 11, 185 dhe 35 raportime për këto adresa. CleanTalk listonte adresat e HostRoyale, B2 Net Solutions, Tencent dhe Cloudzy, por jo adresat e EXPLORERNET ose Microsoft Azure.
Infrastruktura përfshinte sisteme datacenter, shërbime cloud, shërbime VPN ose proxy dhe lidhje rezidenciale ose të linjave fikse. Patchstack e përshkroi 177.75.57.20, adresën më aktive, si një rast të pazakontë, sepse i përkiste një ISP-je braziliane të linjave fikse dhe pothuajse nuk kishte histori të mëparshme abuzimi.
Pronarët dhe administratorët e faqeve duhet ta përditësojnë menjëherë Bricksforge në versionin 3.1.8.10 ose më të ri. Logs duhet të kontrollohen për kërkesa drejtuar dy endpoints të dërgimit të formularëve, përdorim të temporaryFileUploads, shtigje imazhesh të çiftuara me destinacione PHP, variante të përsëritura të extension dhe thirrje te bricksforge_regenerate_nonce të pasuara nga një ngarkim dhe dërgim formulari. Administratorët duhet të kërkojnë gjithashtu skedarë PHP të papritur në dosjen e përkohshme të Bricksforge ose në direktori të tjera ngarkimesh, veçanërisht login_admin_*.php, si edhe kërkesa të bëra ndaj skedarëve PHP të krijuar së fundmi.
Faqet që përdorën një version të prekur pa mbrojtje kërkojnë një shqyrtim historik të logs dhe të mjedisit të hosting për ndryshime të paautorizuara, aktivitet të pashpjegueshëm të aplikacionit dhe skedarë PHP të papritur. Patchstack thotë se rregulli i tij i trafikut RapidMitigate për CVE-2026-85097 ishte aktiv përpara sulmit të parë të vëzhguar dhe i bllokon përpjekjet e raportuara pa ndryshuar kodin e plugin, ndërkohë që vazhdon monitorimi për payloads dhe bypasses të reja. Për pronarët që preferojnë të mos e menaxhojnë vetëm infrastrukturën WordPress, AEU Hosting ofron hosting të menaxhuar për WordPress, të siguruar nga skaji në skaj. Përditësimi i Bricksforge mbetet rregullimi i drejtpërdrejtë për këtë cenueshmëri.