Krytyczna luka w Bricksforge dla WordPressa jest już wykorzystywana. Zaktualizuj wtyczkę

Luka CVE-2026-85097 we wtyczce Bricksforge do WordPressa jest aktywnie wykorzystywana przez atakujących — ostrzega firma Patchstack. Błąd ma maksymalną ocenę 10.0 w skali CVSS i pozwala atakującemu bez logowania wykonać własny kod na serwerze, czyli w praktyce przejąć stronę. Podatne są wszystkie wersje do 3.1.8.9 włącznie.

Jak działa atak

Bricksforge, rozszerzenie dla kreatora stron Bricks, sprawdza typ pliku przy jego pierwszym przesłaniu, ale przy wysyłce formularza nie weryfikuje już danych podanych przez przeglądarkę — według Patchstacka chodzi o pole „url” w parametrze temporaryFileUploads. Atakujący wysyłają plik, który jednocześnie jest poprawnym obrazkiem GIF i zawiera kod PHP, a następnie wskazują dla niego adres z rozszerzeniem .php. Serwer zapisuje taki plik jako wykonywalny skrypt. Ważny token zabezpieczający da się przy tym pobrać bez logowania.

Jak podaje Patchstack, pierwsze próby ataku wykrył 7 października 2026 r. o 21:47 UTC. Ruch pochodził z 63 unikalnych adresów IP, z czego sześć odpowiadało za ok. 46 proc. zapytań.

Co zrobić

Poprawka pojawiła się w wersji 3.1.8.10, a najlepiej od razu zaktualizować wtyczkę do najnowszej wersji 4.0.1. Warto też przejrzeć logi pod kątem zapytań do /wp-json/bricksforge/v1/form_submit z parametrem temporaryFileUploads i powtarzających się wysyłek formularzy oraz sprawdzić, czy w katalogu /wp-content/uploads/bricksforge/tmp/ nie pojawiły się nieoczekiwane pliki PHP.

Źródła: Patchstack, The Hacker News