Een kwetsbaarheid met de maximale ernstscore van de WordPress-plugin Bricksforge wordt actief misbruikt, meldt beveiligingsbedrijf Patchstack. Bricksforge is een uitbreiding voor de visuele websitebouwer Bricks en wordt geadverteerd als Zwitsers zakmes voor animaties, geavanceerde formulieren en videosequenties.
Het gaat om CVE-2026-85097, met een CVSS-score van 10,0. Het lek treft Bricksforge-versies tot en met 3.1.8.9 en is verholpen in versie 3.1.8.10. Patchstack zag de eerste aanvalspogingen op 7 oktober om 21:47 uur UTC.
Een GIF die eigenlijk PHP is
De fout zit in hoe Bricksforge met bestandsuploads omgaat. Bij het eerste uploaden controleert de plugin het bestandstype keurig, maar bij het verzenden van het formulier vertrouwt ze vervolgens blind op de bestandsmetadata die de bezoeker zelf meestuurt. Vooral het url-veld binnen de parameter temporaryFileUploads wordt niet gevalideerd.
Een aanvaller zonder account vraagt eerst een geldige nonce op via het open AJAX-eindpunt bricksforge_regenerate_nonce. Daarna uploadt hij een GIF/PHP-polyglot: een bestand dat een geldige afbeelding is maar ook PHP-code bevat. Dat bestand doorstaat de bestandstypecontrole en belandt in de tijdelijke uploadmap. Bij het indienen van het formulier wijst het file-pad naar die gevalideerde afbeelding, terwijl het meegestuurde url-veld eindigt op een PHP-extensie. Omdat Bricksforge die metadata klakkeloos vertrouwt, plaatst de plugin de inhoud van het bestand op de PHP-locatie. Zodra die pagina wordt opgevraagd, voert de server de ingesloten code uit.
De aanvallen die Patchstack waarnam, richten zich op het REST-eindpunt /wp-json/bricksforge/v1/form_submit en op admin-ajax.php met de actie bricksforge_form_submit. Om extensiefilters te omzeilen gebruiken de aanvallers varianten als .php5, .php7 en .phtml, afwijkend hoofdlettergebruik en gecodeerde extensies. Patchstack zag twee duidelijke patronen in het verkeer: in het ene stuurden 44 IP-adressen binnen enkele seconden 56 identieke verzoeken, in het andere testten drie IP-adressen 25 varianten van extensies en codering tegen hetzelfde tijdelijke bestand. In totaal kwamen de aanvallen van 63 unieke IP-adressen, waarvan zes goed waren voor ongeveer 46 procent van alle verzoeken.
Succesvol misbruik geeft een aanvaller willekeurige PHP-codeuitvoering op de server, genoeg om een WordPress-site volledig over te nemen, webshells te plaatsen, gevoelige data te lezen of blijvende toegang te vestigen.
Patchstack en Wordfence adviseren om direct te updaten naar de nieuwste pluginversie, 4.0.1, en om logs te controleren op verzoeken naar het form_submit-eindpunt met een temporaryFileUploads-parameter, op herhaalde formulierinzendingen en op onverwachte PHP-bestanden in de map /wp-content/uploads/bricksforge/tmp/.
Voor Nederlandse bedrijven en bureaus die Bricks met Bricksforge gebruiken is dit geen patch om uit te stellen: een CVSS-score van 10,0 in combinatie met bevestigd actief misbruik is de zwaarst denkbare combinatie. Werk de plugin vandaag nog bij, ook als de site op het eerste gezicht normaal functioneert, want de aanvalsgolf loopt via geautomatiseerde, verspreide infrastructuur en kan elke onbijgewerkte installatie raken.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruikt u Bricksforge bij Bricks op WordPress? Update per direct naar versie 4.0.1 en controleer uw serverlogs op verzoeken naar /wp-json/bricksforge/v1/form_submit met een temporaryFileUploads-parameter, herhaalde formulierinzendingen en onverwachte PHP-bestanden in /wp-content/uploads/bricksforge/tmp/.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.