یک نقص امنیتی با شدت حداکثری در افزونه Bricksforge برای وردپرس شناسایی شده است که در حال حاضر توسط مهاجمان در محیط واقعی مورد بهره‌برداری قرار می‌گیرد. این آسیب‌پذیری که با شناسه CVE-2026-85097 و امتیاز CVSS 10.0 ثبت شده است، به مهاجمان بدون احراز هویت (Unauthenticated) اجازه می‌دهد تا کدهای PHP دلخواه را روی وب‌سایت‌های آسیب‌پذیر آپلود و اجرا کنند که منجر به اجرای کد از راه دور (RCE) می‌شود.
جزئیات فنی و مکانیسم حمله
این نقص امنیتی نسخه‌های تا و شامل 3.1.8.9 افزونه Bricksforge را تحت تأثیر قرار داده است. طبق تحلیل‌های فنی، مشکل از اعتبارسنجی ناکافی فیلد URL در پارامتر temporaryFileUploads هنگام ارسال فرم ناشی می‌شود. در حالی که افزونه در مرحله اول آپلود، نوع MIME فایل را بررسی می‌کند، اما در مرحله ارسال فرم، به متادیتای ارسالی توسط کلاینت اعتماد می‌کند.
مراحل بهره‌برداری از این آسیب‌پذیری به شرح زیر است:
- مهاجم ابتدا یک
nonceمعتبر را از طریق اندپوینت AJAX مربوط بهbricksforge_regenerate_nonceدریافت می‌کند. - سپس یک فایل Polyglot (ترکیبی از GIF/PHP) را در دایرکتوری آپلود موقت قرار می‌دهد تا اعتبارسنجی MIME type را دور بزند.
- در مرحله بعد، فرمی را با پارامتر
temporaryFileUploadsدستکاری شده ارسال می‌کند؛ به گونه‌ای که مسیر فایل در سرور به فایل GIF تایید شده اشاره کند، اما فیلد URL تحت کنترل مهاجم با پسوند.phpپایان یابد. - در نهایت، این فرآیند منجر به اجرای کد PHP روی سرور شده و مهاجم می‌تواند کنترل کامل سایت را در دست بگیرد، Web Shell نصب کند و به داده‌های حساس دسترسی یابد.
رصد فعالیت‌های مهاجمان
گزارش‌ها نشان می‌دهد که عوامل تهدید (Threat Actors) از اندپوینت‌های /wp-json/bricksforge/v1/form_submit و /wp-admin/admin-ajax.php برای اجرای حملات استفاده می‌کنند. برای دور زدن فیلترهای پسوند، مهاجمان از تکنیک‌هایی نظیر استفاده از پسوندهای جایگزین (مانند .php5، .phtml)، تغییر حروف بزرگ و کوچک (مانند .pHp) و کدگذاری پسوندها (مانند .%70hp) بهره می‌برند.
سایر تهدیدات مرتبط با وردپرس
همزمان با این حمله، بهره‌برداری از آسیب‌پذیری‌های Cross-Site Scripting (XSS) در دو افزونه دیگر یعنی WPC Product Bundles for WooCommerce و Ninja Forms نیز مشاهده شده است. مهاجمان از این نقص‌ها برای تزریق یک Payload جاوااسکریپت (x.js) استفاده می‌کنند که قادر است افزونه‌های بک‌دور (Backdoor) نصب کرده و حساب‌های مدیر (Admin) جعلی ایجاد کند.
این ابزار پس از اجرا در مرورگر مدیر سایت، از نشست (Session) احراز شده او برای نصب افزونه‌های مخرب و ایجاد مکانیسم‌های ماندگاری (Persistence) در سیستم استفاده می‌کند.
توصیه‌های امنیتی و مقابله
به مدیران سیستم و متخصصان امنیت توصیه می‌شود اقدامات زیر را سریعاً انجام دهند:
- به‌روزرسانی فوری افزونه Bricksforge به آخرین نسخه (4.0.1) و سایر افزونه‌های آسیب‌پذیر.
- حسابرسی (Audit) درخواست‌های ورودی به اندپوینت
/wp-json/bricksforge/v1/form_submitکه حاوی پارامترtemporaryFileUploadsهستند. - بررسی دایرکتوری
/wp-content/uploads/bricksforge/tmp/برای شناسایی فایل‌های PHP غیرمنتظره. - بررسی مستقیم دیتابیس برای شناسایی حساب‌های مدیر مخفی و بررسی دایرکتوری افزونه‌های must-use.
