Bricksforge插件现极高危漏洞被黑客利用
通俗解读
Bricksforge是用于搭建WordPress网站的一款插件工具。安全研究人员发现黑客正利用其中一个严重漏洞入侵网站，无需密码即可让系统运行恶意代码。插件开发者已发布修复版本，网站管理者被告知应立即更新。
Patchstack报告称，攻击者正在积极利用Bricksforge中的一个极高危漏洞CVE-2026-85097，CVSS评分达到满分10.0。Bricksforge是一款被宣传为Bricks建站工具配套工具包的WordPress插件。该漏洞允许未经身份验证的攻击者上传并执行任意PHP代码，从而在存在漏洞的网站上实现远程代码执行。该漏洞影响3.1.8.9及以下版本的Bricksforge，开发者已在3.1.8.10版本中予以修复，当前最新安全版本为4.0.1。
据Patchstack介绍，该插件在文件首次上传时会检查其MIME类型，但在表单提交时却转而信任客户端提交的元数据，未对temporaryFileUploads参数中的url字段进行验证。攻击者利用这一点，先从未经身份验证的bricksforge_regenerate_nonce接口获取nonce，上传一个能通过MIME检查的GIF/PHP混合文件，再提交一份表单，其中file字段指向已通过验证的图片，而url字段则以PHP扩展名结尾。Wordfence描述了相同的利用机制，指出服务器会将上传文件的内容存放到以PHP命名的位置，当该位置被请求时，其中嵌入的代码便会被执行。
Patchstack最早于2026年10月7日观察到利用尝试，攻击目标为Bricksforge的REST API接口wp-json/bricksforge/v1/form_submit，或带有bricksforge_form_submit动作参数的admin-ajax.php接口。攻击者使用.php5、.php7和.phtml等替代PHP扩展名，以及大小写变化和编码扩展名来绕过过滤。Patchstack确认了63个独立来源IP 互联网协议 互联网发送数据的基本规则，为每台联网设备分配数字地址。 完整定义（IP），其中六个IP占请求总量的约46%，并描述存在两个明显的攻击集群，显示可能是通过代理或分布式基础设施进行的自动化利用，不过该公司未将此活动归因于特定攻击者。
利用成功后，攻击者可以完全控制WordPress网站，部署网页后门，获取敏感数据并保持持久访问权限。Patchstack建议网站所有者立即更新，并检查对该受影响接口的请求中是否存在temporaryFileUploads参数、重复的表单提交记录，以及bricksforge临时上传目录中出现的异常PHP文件。
此外，Patchstack还指出，WPC Product Bundles for WooCommerce和Ninja Forms中的跨站脚本漏洞仍在被持续滥用，攻击者借此投放可安装后门插件的载荷，创建隐藏的管理员账户，并设置一个“魔法登录”网址，使其能够以网站原始管理员身份获得访问权限。