V pluginu Bricksforge byla identifikována kritická bezpečnostní zranitelnost umožňující nepřihlášenému útočníkovi nahrát na server škodlivý PHP soubor a následně jej spustit.
Bricksforge rozšiřuje vizuální editor Bricks Builder o pokročilé formuláře, animace, interaktivní prvky a další funkce.
Zranitelnost je prokazatelně aktivně zneužívána v reálných útocích.
Společnost Patchstack zaznamenala první pokusy o zneužití již 7. října 2026. Útočníci využívají nedostatečné kontroly souborových metadat při odesílání formulářů Bricksforge.
Zranitelnost dosahuje maximálního hodnocení CVSS 10.0/10.
Mechanismus zneužití
Problém se nachází v mechanismu nahrávání souborů prostřednictvím formulářů Bricksforge.
Zranitelný parametr:
temporaryFileUploads
Plugin při prvotním nahrávání souboru kontroluje jeho MIME typ. Při následném zpracování formuláře však důvěřuje metadatům předaným klientem.
Zásadním problémem je nedostatečná validace hodnoty url v parametru temporaryFileUploads.
Útočník může této chyby využít k nahrání souboru, který se tváří jako obrázek, ale současně obsahuje PHP kód.
Při následném zpracování formuláře může ovlivnit cílové umístění souboru tak, aby byl uložen s příponou PHP.
Pokud server umožňuje vykonávání PHP v cílovém adresáři, může následné otevření souboru způsobit spuštění vloženého kódu.
Zranitelné soubory pluginu:
bricksforge/includes/elements/pro-forms/actions/init.php
bricksforge/includes/elements/pro-forms/actions/base.php
Útok nevyžaduje přihlášení do WordPressu ani interakci administrátora.
Potvrzené aktivní zneužívání
Patchstack zaznamenal automatizované útoky zaměřené především na REST API endpoint:
POST /wp-json/bricksforge/v1/form_submit
Další požadavky využívaly:
/wp-admin/admin-ajax.php
s akcí:
bricksforge_form_submit
Útočníci se pokoušejí obcházet kontrolu přípon souborů prostřednictvím alternativních PHP přípon, změn velikosti písmen a URL kódování.
V zachycených útocích se objevily také pokusy o vytvoření PHP souborů s názvy login_admin_*.php.
Tyto soubory mohou sloužit jako zadní vrátka umožňující opakovaný neoprávněný přístup.
Patchstack identifikoval 63 unikátních zdrojových IP adres. Část provozu vykazovala známky koordinovaných automatizovaných útoků.
Zaznamenané požadavky prokazují aktivní pokusy o zneužití. Samotný výskyt požadavku však ještě nepotvrzuje úspěšnou kompromitaci konkrétního webu.
Možné následky
Úspěšné zneužití může umožnit:
- Nahrávání škodlivých PHP souborů na server.
- Vzdálené spuštění libovolného PHP kódu.
- Instalaci webshellů a zadních vrátek.
- Získání databázových přístupových údajů.
- Neoprávněné změny souborů WordPressu.
- Vytvoření administrátorských účtů.
- Přístup k citlivým informacím.
- Úplné převzetí WordPress instalace.
Jedná se o přímé riziko vzdáleného spuštění kódu, nikoliv pouze o zranitelnost typu XSS.
Hodnocení závažnosti
CVSS: 10.0/10 – Kritická 🔴
Patchstack označuje zranitelnost jako vysoce prioritní a potvrzuje její aktivní zneužívání.
Závažnost zvyšuje především skutečnost, že útok nevyžaduje přihlášení, využívá veřejně dostupné formuláře a může vést k úplnému převzetí serverové aplikace.
Dostupnost bezpečnostní opravy
Zranitelnost byla opravena ve verzi Bricksforge 3.1.8.10.
Patchstack současně vydal ochranné pravidlo RapidMitigate, které blokuje známé pokusy o zneužití.
Bezpečnostní oprava je dostupná od 7. října 2026.
Doporučené kroky
- Doporučujeme bezodkladně aktualizovat Bricksforge minimálně na verzi 3.1.8.10, případně na novější dostupnou opravenou verzi.
- U webů, které provozovaly postižené verze, doporučujeme prověřit serverové logy od 7. října 2026.
- Zkontrolovat zejména požadavky na
/wp-json/bricksforge/v1/form_submit.
- Doporučujeme věnovat pozornost požadavkům obsahujícím parametr
temporaryFileUploads.
- Je vhodné prověřit adresář
/wp-content/uploads/bricksforge/tmp/ a vyhledat případné neznámé PHP soubory.
- Doporučujeme zkontrolovat také ostatní adresáře
/wp-content/uploads/, zejména soubory odpovídající vzoru login_admin_*.php.
- Je vhodné prověřit neobvyklé požadavky na PHP soubory umístěné v adresářích určených pro nahrávaný obsah.
- Doporučujeme ověřit, zda webový server neumožňuje vykonávání PHP skriptů v adresářích určených pro uživatelské soubory.
- Doporučujeme prověřit integritu souborů WordPressu, pluginů a šablon.
- Je vhodné zkontrolovat případné nově vytvořené administrátorské účty.
- Pokud aktualizace není okamžitě možná, doporučujeme dočasně deaktivovat postižený plugin nebo využít odpovídající ochranné pravidlo Patchstack.
- Při podezření na kompromitaci doporučujeme provést kompletní bezpečnostní analýzu, odstranit škodlivé soubory a obnovit potenciálně kompromitované přístupové údaje.
Důležité: Samotná aktualizace pluginu neodstraní případné škodlivé PHP soubory ani zadní vrátka vytvořená před instalací bezpečnostní opravy.
U webů, které provozovaly postižené verze, proto doporučujeme kromě aktualizace prověřit také integritu souborového systému a historii přístupů.
Zdroj: https://patchstack.com/articles/critical-unauthenticated-arbitrary-file-upload-vulnerability-exploited-in-bricksforge-plugin/
