פגיעות העלאת קבצים ללא אימות בתוסף Bricksforge לוורדפרס מאפשרת להריץ קוד PHP על האתר, ותוקפים כבר מנסים לנצל אותה. אם התוסף מותקן אצלך, זה דחוף.
| מזהה | CVE-2026-85097 |
| מוצר וגרסאות מושפעות | תוסף Bricksforge, גרסאות עד 3.1.8.9 ועד בכלל |
| חומרה | CVSS 10.0 (קריטית) |
| מנוצל בפועל | כן, לפי Patchstack: ניסיונות ניצול זוהו ב-7 באוקטובר 2026 |
| סטטוס תיקון | קיים עדכון; מספר הגרסה המדויק לא אומת מול היצרן (הכתבה מציינת שתי גרסאות שונות) |
מה קרה
התוסף בודק את סוג הקובץ בעת ההעלאה, אך בשליחת הטופס הוא סומך על מטא-דאטה שהלקוח מספק ואינו מאמת את השדה url בפרמטר temporaryFileUploads. כך אפשר להעלות קובץ שנראה כתמונה, ואז להנחות את התוסף לכתוב את תוכנו למיקום עם סיומת PHP, שם הוא ירוץ.
לפי Patchstack, הניסיונות הגיעו מ-63 כתובות מקור, וחלקם בדקו סיומות חלופיות ושינויי אותיות כדי לעקוף סינון. קמפיין נפרד שתועד באותו כיסוי מנצל פגיעויות XSS בתוספי WPC Product Bundles ו-Ninja Forms כדי ליצור מנהל נסתר.
נקודות לשים לב
- בדוק אילו גרסאות של Bricksforge מותקנות אצלך, ועדכן לגרסה העדכנית מהיצרן. אם אי אפשר לעדכן מיד, השבת את התוסף.
- חפש בלוגי השרת בקשות ל-
/wp-json/bricksforge/v1/form_submitאו ל-admin-ajax.phpעם הפעולהbricksforge_form_submitשכוללותtemporaryFileUploads. - בדוק אם יש קובצי PHP לא צפויים בתיקייה
/wp-content/uploads/bricksforge/tmp/. - עדכון לא מנקה אתר שכבר נפרץ: חפש מנהלים חדשים או נסתרים ותוספי must-use לא מוכרים.
מקורות: Patchstack · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
