Bricksforge: kritična WordPress ranjivost

Zlonamjerni akteri iskorištavaju kritičnu ranjivost u dodatku Bricksforge za WordPress radi daljinskog izvršavanja proizvoljnog PHP kôda, otkriva kompanija Patchstack. Ova ranjivost, označena kao CVE-2026-85097 sa ocjenom 10,0 na CVSS skali, prvi put je zabilježena tokom aktivnog iskorištavanja 7. oktobra 2026. godine. Uprkos ispravkama objavljenim u verziji 3.1.8.10, sigurnosni stručnjaci upozoravaju da automatizovano iskorištavanje putem rotirajućih posredničkih servera i dalje predstavlja stvarnu prijetnju.

BRICKSFORGE KRITIČNA RANJIVOST

Sedmog oktobra 2026. godine počeli su se pojavljivati pokušaji iskorištavanja kritične ranjivosti u dodatku Bricksforge za WordPress, pri čemu su zlonamjerni akteri iskoristili sistemsku nejednakost između početne provjere datoteka i naknadne obrade obrazaca.

Dodatak Bricksforge, osmišljen da unaprijedi alate za vizuelnu izgradnju internet stranica dinamičkim obrascima i animacijama, postao je središnja tačka napada. Zlonamjerni akteri su bez provjere prava pristupa iskoristili nedosljedno rukovanje metapodacima, čime se stvara mogućnost izvršavanja proizvoljnog PHP kôda putem hibridnih datoteka koje kombinuju formate GIF i PHP.

Zlonamjerni akteri zaobišli su provjere standarda za označavanje vrste sadržaja i podršku različitim vrstama datoteka u elektronskoj pošti (eng. multipurpose internet mail extensions – MIME) tipova ugradnjom izvršnog kôda unutar datoteka sa slikama, a zatim su manipulisali poljima URL adresa radi preusmjeravanja staza skladištenja na strani servera ka datotekama sa PHP proširenjem. Na taj način se privremena otpremanja faktički pretvaraju u trajne skrivene tačke ulaza.

Obrasci iskorištavanja ove ranjivosti u dodatku Bricksforge obuhvataju distribuirane mreže posredničkih servera i varijacije kôdiranih proširenja, čime se ističe širi trend pretvaranja ranjivosti pri otpremanju datoteka u oružje unutar ekosistema WordPress. Unutar ovih ekosistema automatizovani skeneri daju prednost tačkama ulaza bez provjere prava pristupa u odnosu na one koje zahtijevaju provjeru identiteta.

Iako su ispravke objavljene u verziji 3.1.8.10, postojanost rotirajućih klastera IP adresa ukazuje na to da napori za ublažavanje rizika i dalje zaostaju za razvojem tehnika zaobilaženja zaštite.

 

“Zlonamjerni akter koji nije prijavljen na sistem najprije može pribaviti važeći zaštitni niz putem AJAX krajnje tačke bricksforge_regenerate_nonce, a zatim otpremiti datoteku koja istovremeno sadrži GIF sliku i PHP kôd u privremeni direktorijum za otpremanje, u kojem se provjera MIME tipa datoteke obavlja ispravnoi. Nakon toga zlonamjerni akter može poslati obrazac sa posebno oblikovanim parametrom temporaryFileUploads, pri čemu putanja do datoteke na serveru vodi do provjerene GIF datoteke, dok se polje url, čiju vrijednost određuje zlonamjerni akter, završava nastavkom .php.”

– Wordfence –

 

Mehanizam zaobilaženja provjere

Ranjivost u dodatku Bricksforge proizilazi iz neusklađenosti između početne provjere datoteka i naknadne obrade obrazaca unutar ovog WordPress dodatka. Tokom otpremanja, dodatak provjerava tip prema standardu za označavanje vrste sadržaja i podršku različitim vrstama datoteka u elektronskoj pošti (MIME) kako bi se osiguralo da je riječ o datoteci sa slikama, no ova provjera se ne sprovodi prilikom rukovanja metapodacima tokom podnošenja obrasca.

Zlonamjerni akteri iskorištavaju ovaj propust izradom zlonamjernih korisnih tereta koji prolaze početnu provjeru, uz istovremeno ugrađivanje izvršnog kôda u skrivena polja.

Oslanjanje dodatka Bricksforge na URL adrese koje pruža klijent unutar parametra temporaryFileUploads daje mogućnost zlonamjernim akterima da preusmjere sadržaj datoteka na strani servera ka proizvoljnim putanjama.

Kombinovana datoteka GIF i PHP, odnosno datoteka koja sadrži i podatke o slikama i PHP skripte, dospijeva u privremeni direktorijum nakon prolaska provjera standarda za označavanje vrste sadržaja i podršku različitim vrstama datoteka u elektronskoj pošti (MIME), a zatim se premješta na lokaciju sa tipom datoteke .php putem izmijenjenih metapodataka. Ovim korakom se u potpunosti zaobilaze odbrambeni mehanizmi dodatka.

Proces počinje zahtjevom bez provjere prava pristupa radi ponovnog formiranja vrijednosti novog slučajnog broja kroz krajnju tačku bricksforge_regenerate_nonce u AJAX dodatka Bricksforge. Nakon dobijanja, ovaj token omogućava podnošenje obrazaca koji povezuju provjerenu putanju slike sa zlonamjernom URL adresom. Server zatim upisuje ugrađeni PHP kôd u navedeno odredište, čime se stvara skrivena tačka ulaza za dalje iskorištavanje.

Iako je početni dizajn dodatka Bricksforge imao za cilj da pojednostavi rukovanje obrascima, nenamjerno je stvorio priliku za zlonamjerne aktere da ubace proizvoljni kôd bez provjere prava pristupa. Ova ranjivost naglašava na koji način nepotpuna provjera metapodataka može pretvoriti opravdane funkcije u kritične bezbjednosne rizike.

 

Automatizovana infrastruktura i taktike kôdiranja

Zlonamjerni akteri koriste infrastrukturu rotirajućih posredničkih servera kako bi prikrili svoje porijeklo tokom pokretanja usklađenih skeniranja instalacija dodatka Bricksforge. Ovaj distribuirani model daje mogućnost zlonamjernim akterima da zaobiđu bezbjednosne mjere zasnovane na IP adresama periodičnim prolaskom kroz hiljade posredničkih servera, čime se osigurava da nijedna tačka ulaza ne ostane izložena dugo vremena.

Korištenje ovakve infrastrukture povezano je sa uočenim klasterima u kojima je 44 IP adrese poslalo identične zlonamjerne korisne terete u roku od nekoliko sekundi. Ovim se ukazuje na centralizovanu strukturu za komandovanje i kontrolu koja organizuje ove napade.

Ovaj pristup u velikoj mjeri odstupa od tradicionalnih metoda napada grubom silom (eng. brute-force), jer se oslanja na automatizovane alate koji sistematski testiraju varijacije tipova PHP datoteka i načina kôdiranja.

Zabilježeno je da zlonamjerni akteri ispituju provjeru metapodataka dodatka Bricksforge zamjenom putanja datoteka .gif ili .png URL adresama koje se završavaju kôdiranim ili rezervnim tipovima PHP datoteka, poput .php5, .phtml ili URL kôdiranim podudarnim izrazima kao što je %2ephp. Ova taktika iskorištava nedostatak stroge primjene tipa datoteke u dodatku tokom podnošenja obrazaca.

Istovremeno, zlonamjerni akteri upravljaju parametrom temporaryFileUploads kako bi stvorili nejednakost između putanja datoteka sa slikama na strani servera i URL adresa koje je naveo klijent.

Ugrađivanjem PHP kôda unutar hibridnih datoteka GIF i PHP, oni osiguravaju da ovi zlonamjerni korisni tereti prođu početne provjere standarda za označavanje vrste sadržaja i podršku različitim vrstama datoteka u elektronskoj pošti (MIME), prije nego što se premjeste na lokacije gdje se njihov zlonamjerni sadržaj može izvršiti. Ovim se ističe na koji način povjerenje dodatka Bricksforge u neprovjerene metapodatke tokom obrade obrazaca postaje kritična ranjivost za kampanje iskorištavanja.

Obim ove aktivnosti dodatno se povećava korištenjem kôdiranih naziva datoteka i varijacija velikih i malih slova, poput .PHP ili .Php, čime se zaobilaze jednostavni filteri zasnovani na malim slovima. Zabilježeno je i da zlonamjerni akteri ciljaju uobičajene direktorijume za otpremanje u sistemu WordPress sa zlonamjernim korisnim teretima nazvanim login_admin_*.php, što ukazuje na namjeru uspostavljanja dugoročnog pristupa, a ne kratkotrajnog poremećaja.

Ovi obrasci otkrivaju naprednu strategiju prilagođenu određenom načinu na koji dodatak Bricksforge rukuje privremenim otpremanjima i prazninama u provjeri metapodataka.

 

Ciljane krajnje tačke u kampanjama iskorištavanja

Zlonamjerni akteri usmjeravaju se na određene krajnje tačke radi iskorištavanja logike podnošenja obrazaca dodatka Bricksforge. Krajnja tačka REST API /wp-json/bricksforge/v1/form_submit postaje primarni cilj, budući da zlonamjerni akteri ubacuju posebno oblikovane parametre temporaryFileUploads tokom POST zahtjeva.

Ovi zlonamjerni korisni tereti manipulišu metapodacima, čime se putanje datoteka sa slikama na strani servera povezuju sa odredišnim PHP URL adresama. Iako privremeni direktorijum za otpremanje u početku provjerava datoteke, naknadna podnošenja obrazaca zaobilaze te provjere iskorištavanjem nepouzdanih polja URL adresa unutar lanca obrade dodatka Bricksforge.

Oslanjanje dodatka Bricksforge na datoteku admin-ajax.php sa radnjom bricksforge_form_submit dodatno povećava ovaj rizik. Zlonamjerni akteri mogu zloupotrijebiti ovaj mehanizam za slanje zlonamjernih podataka, pri čemu koriste nedosljednosti u različitim fazama provjere datoteka.

Privremeni direktorijum za otpremanje, iako osmišljen za bezbjedno skladištenje, postaje polazna tačka u koju zlonamjerni akteri ugrađuju PHP kôd unutar datoteka sa slikama. Ovakva postavka omogućava izvršavanje kada server obrađuje neusklađene metapodatke, čime se dobija mogućnost neovlaštenog pristupa bez potrebe za provjerom prava pristupa ili prethodnim pristupnim podacima.

Izrada skripti za prijavu administratora naglašava ciljane strategije iskorištavanja. Zlonamjerni akteri koriste nazive datoteka poput login_admin_*.php i pokušavaju da ih smjeste u uobičajene direktorijume za otpremanje u sistemu WordPress, čime se zaobilaze granice privremenog skladištenja dodatka Bricksforge.

Ove datoteke često uključuju logiku za uspostavljanje lažnih administratorskih naloga ili raspoređivanje skrivenih tačaka ulaza, pri čemu se iskorištava nedostatak stroge primjene putanja u dodatku tokom podnošenja obrazaca. Takve skripte ostaju neotkrivene sve dok im se ne pristupi putem HTTP zahtjeva, čime se ističu praznine u mehanizmima provjere određenim za krajnje tačke unutar arhitekture dodatka Bricksforge.

 

Operativni uticaj iskorištenih ranjivosti

Zlonamjerni akteri koji iskorištavaju propust u dodatku Bricksforge koriste komandno okruženje na ugroženim serverima, čime dobijaju mogućnost izvršavanja proizvoljnih komandi putem ugrađenih PHP skripti.

Ovi zlonamjerni korisni tereti često uključuju mehanizme skrivenih tačaka ulaza koje podrazumijevani bezbjednosni alati u sistemu WordPress ne otkrivaju. Na taj način se zlonamjernim akterima omogućava da održe dugoročni pristup bez pokretanja upozorenja.

Prisustvo ovakvih zlonamjernih datoteka u direktorijumima poput /wp-content/uploads/bricksforge/tmp/ ukazuje na uspješno ugrožavanje podataka, jer zlonamjerni akteri mogu preći sa početnog iskorištavanja na dublju infiltraciju mreže.

Ovaj ishod naglašava na koji način propust u dizajnu dodatka Bricksforge pretvara rutinska podnošenja obrazaca u puteve za dugoročnu kontrolu. Jednom kada se ugrade, skrivene tačke ulaza iskorištavaju interna API okruženja sistema WordPress radi formiranja lažnih administratorskih naloga, čime se zaobilaze tradicionalne barijere za provjeru prava pristupa.

Stečeni pristup zlonamjernim akterima omogućava izmjenu ključnih podešavanja stranice ili preuzimanje osjetljivih podataka sačuvanih u bazama podataka ili sistemima datoteka, bez potrebe za dodatnim iskorištavanjem.

Iako zlonamjerni akteri u početku mogu ciljati privremeni direktorijum za otpremanje dodatka Bricksforge radi smiještanja zlonamjernih korisnih tereta, njihove operacije često prerastu ovaj obim.

Zlonamjerne skripte se često premještaju u uobičajene direktorijume za otpremanje u sistemu WordPress, pri čemu se koriste nazivi datoteka poput login_admin_*.php, čime se osigurava postojanost čak i ako se prvobitni vektor iskorištavanja neutrališe.

Ove datoteke djeluju kao posrednici za komandovanje i kontrolu, pri čemu prenose ukradene podatke ili primaju dalja uputstva sa spoljnih servera kojima upravljaju zlonamjerni akteri.

Ovaj višeslojni pristup osigurava stalni pristup čak i ako se odbrane na strani servera ažuriraju, budući da mehanizam postojanosti djeluje nezavisno kroz učešća na strani klijenta sa krajnjim tačkama API okruženja dodatka Bricksforge.

Obim ovih napada ističe na koji način ranjivosti u dodacima poput Bricksforge mogu poslužiti kao tačke ulaza za šire kampanje koje ciljaju ekosisteme sistema WordPress. Iako neposredno ublažavanje rizika uključuje ažuriranje na verziju 3.1.8.10 ili noviju, ugrožena okruženja zahtijevaju forenzičke preglede dnevnika servera i sistema datoteka radi prepoznavanja preostalih prijetnji koje su zlonamjerni akteri ostavili iskorištavanjem ovog propusta.

Operativni utjecaj se proteže izvan tehničke sanacije, čime se zahtijeva organizaciona spremnost protiv razvijajućih taktika koje iskorištavaju ovakve nedostatke u arhitekturi dodatka Bricksforge.

 

ZAKLJUČAK

Iskorištavanje dodatka Bricksforge naglašava sistemski izazov unutar arhitekture dodataka za sistem WordPress, koji se ogleda u sukobu između okruženja bogatih funkcijama i nedosljednih mehanizama provjere. Iako dodaci poput Bricksforge imaju za cilj da poboljšaju korisničko iskustvo kroz dinamičke obrasce i rukovanje medijima, takve sposobnosti često uvode ranjivosti u kojima bezbjednosne provjere zakazuju, posebno kada se obrada metapodataka razlikuje od početne provjere datoteka.

Ova razlika otkriva širi trend u savremenim internet aplikacijama, gdje izbori u dizajnu vođeni pogodnošću nenamjerno stvaraju puteve za iskorištavanje zlonamjernih aktera koji ciljaju vektore pristupa bez provjere prava pristupa.

Automatizovane kampanje iskorištavanja protiv dodatka Bricksforge pokazuju evoluirajuću naprednost u zaobilaženju odbrana putem kôdiranih zlonamjernih korisnih tereta i distribuirane infrastrukture. Zlonamjerni akteri koriste varijacije PHP tipova datoteka i URL kôdiranja kako bi ispitali logiku provjere, čime se ukazuje da se čak i manje praznine u čišćenju unosa mogu iskoristiti kao oružje u velikom obimu.

Korištenje stambenih IP adresa uz posredničke servere zasnovane na oblaku ukazuje na strateški pomak ka prikrivanju porijekla napada, čime se otežava utvrđivanje odgovornosti, a istovremeno se povećava domet ovakvih kampanja. Ovaj pristup odražava rastući naglasak na operacije niske vidljivosti i visokog utjecaja, umjesto na metode infiltracije grubom silom.

Uprkos ispravkama koje rješavaju neposredne ranjivosti u dodatku Bricksforge, postojanost zlonamjernih korisnih tereta u ugroženim okruženjima ističe još jednu kritičnu dimenziju, a to je kašnjenje između sanacije i čišćenja nakon iskorištavanja.

Organizacije koje se oslanjaju isključivo na ažuriranja dodataka mogu previdjeti preostale prijetnje ugrađene u podešavanja servera ili skrivene administratorske naloge formirane tokom početnih ugrožavanja podataka. Ovaj propust naglašava potrebu za višeslojnim odbranama koje prevazilaze ispravke na nivou kôda, što uključuje neprekidno praćenje direktorijuma za otpremanje i otkrivanje nepravilnosti u obrascima podnošenja obrazaca koji odstupaju od očekivanog ponašanja.

Međusobno djelovanje funkcionalnosti dodatka Bricksforge i njegovog iskorištavanja isto tako postavlja pitanja o dugoročnoj održivosti dodataka koji daju prednost fleksibilnosti funkcija u odnosu na stroge kontrole unosa.

Dok zlonamjerni akteri usavršavaju svoje taktike za iskorištavanje ovakvih propusta, programeri se suočavaju sa rastućom potrebom da prilagode upotrebljivost sa čvrstim bezbjednosnim okvirima, posebno u komponentama koje rukuju otpremanjem datoteka ili obradom podataka iz obrazaca. Ovaj propust će vjerovatno oblikovati budući dizajn dodataka, jer se potražnja za arhitekturama koje su bezbjedne podrazumijevano usložnjava usred rastućih prijetnji koje ciljaju ekosisteme sistema WordPress.

Ono što ostaje neriješeno jeste na koji način organizacije mogu efikasno uskladiti brze cikluse primjene ispravki sa stalnim rizikom od naslijeđenih infekcija i evoluirajućih metodologija napada koje se prilagođavaju odbrambenim mjerama.

 

PREPORUKE

Kritična ranjivost u dodatku Bricksforge se aktivno iskorištava, čime se zlonamjernim akterima omogućava da otpremaju zlonamjerne datoteke i izvršavaju proizvoljni PHP kôd na ugroženim internet stranicama. Navedene smjernice mogu doprinijeti jačanju bezbjednosti i smanjenju izloženosti.

1. Izvršiti hitno ažuriranje na verziju dodatka Bricksforge 3.1.8.10 ili noviju. Ova ispravka rješava osnovnu ranjivost ispravljanjem neusklađene provjere ispravnosti pri otpremanju datoteka i podnošenju obrazaca. Odgađanje ažuriranja ostavlja sisteme izloženim automatizovanim napadima koji ciljaju ovu ranjivost.
2. Sprovoditi temeljiti pregled svih dodataka za sistem WordPress, uključujući Bricksforge, radi otkrivanja zastarjelih ili ranjivih verzija. Zlonamjerni akteri isto tako iskorištavaju slične nedostatke u drugim dodacima poput WPC Product Bundles i Ninja Forms, pa unakrsna provjera ranjivih komponenti osigurava sveobuhvatnu zaštitu od pokušaja iskorištavanja.
3. Unaprijediti pravila zaštitnog zida za internet aplikacije radi blokiranja sumnjivih POST zahtjeva koji ciljaju krajnje tačke /wp-json/bricksforge/v1/form_submit i /wp-admin/admin-ajax.php. Zlonamjerni akteri često koriste ove krajnje tačke sa zlonamjernim korisnim teretima, pa podešavanje pravila zaštitnog zida radi filtriranja neispravno oblikovanih parametara ili neočekivanih tipova datoteka može smanjiti uspješne pokušaje iskorištavanja.
4. Uključiti u sistem alate za praćenje u stvarnom vremenu radi otkrivanja neobičnih aktivnosti u direktorijumima za otpremanje, poput /wp-content/uploads/bricksforge/tmp/ i uobičajenih direktorijuma za otpremanje sistema WordPress. Zlonamjerni akteri često prave datoteke naziva login_admin_*.php, pa skeniranje neočekivanih PHP skripti, posebno onih sa šifrovanim ili alternativnim tipovima datoteka poput .php5 ili .phtml, može rano označiti moguća ugrožavanja.
5. Zahtijevati višeslojne mehanizme provjere identiteta za sve administratorske funkcije, čak i ako je ranjivost ispravljena. Iako nedostatak u dodatku Bricksforge omogućava neovlašteni pristup, sprovođenje dodatnih slojeva bezbjednosti poput stavljanja IP adresa na crnu listu ili provjere identiteta u dva koraka (2FA) na administratorskim kontrolnim tablama smanjuje rizike od drugih mogućih tačaka ulaza.
6. Razviti i sprovesti pravila kojima se otpremanje datoteka ograničava isključivo na pouzdane formate, koristeći provjere standarda za označavanje vrste sadržaja i podršku različitim vrstama datoteka u elektronskoj pošti (MIME) tipova na strani servera koje se ne mogu zaobići manipulacijom na strani klijenta. Iskorištavanje ove ranjivosti oslanjalo se na hibridne datoteke GIF i PHP koje su prolazile početne provjere, pa osiguravanje stroge provjere ispravnosti sprječava slične napade čak i ako budući dodaci oponašaju neispravnu logiku.
7. Formirati automatizovane skripte ili koristiti postojeće alate poput Wordfence ili Sucuri radi skeniranja skrivenih administratorskih naloga, nepouzdanih dodataka ili neovlaštenih izmjena u bazi podataka i sistemu datoteka WordPress. Zlonamjerni akteri često podešavaju tajni pristup ili prave prikrivene administratorske korisnike nakon iskorištavanja, pa su redovni pregledi od ključnog značaja za rano otkrivanje.
8. Zahtijevati neprekidnu obuku iz oblasti bezbjednosti za programere i administratore o praksama bezbjednog programiranja, posebno u vezi sa rukovanjem datotekama i podnošenjem obrazaca. Ranjivost u dodatku Bricksforge ističe rizike oslanjanja na metapodatke sa strane klijenta bez provjere na strani servera, čime njegovanje kulture proaktivne odbrane smanjuje buduću izloženost sličnim prijetnjama.
9. Ojačati saradnju sa dobavljačima bezbjednosnih rješenja trećih strana poput Patchstack ili Wordfence radi informisanja o novim iskorištavanjima i strategijama za ublažavanje prijetnji. Ove organizacije često otkrivaju napade prije javnog objavljivanja, čime se pružaju korisni obavještajni podaci koji se mogu uključiti u sistem unutrašnje odbrane.
10. Pregledati istorijske zapise radi znakova pokušaja iskorištavanja, poput ponovljenih zahtjeva sa istih IP adresa ili obrazaca koji uključuju šifrovane tipove datoteka. Primijećeno je da zlonamjerni akteri koriste grupe IP adresa sa automatizovanim alatima, pa prepoznavanje ovakvih ponašanja pomaže u procjeni da li su sistemi već bili ugroženi prije primjene ispravke.
11. Redovno praviti rezervne kopije svih internet stranica sistema WordPress i testirati planove odgovora na sajber prijetnje radi osiguravanja brze obnove ukoliko dođe do narušavanja bezbjednosti. Čak i uz primijenjene ispravke, zlonamjerni akteri su možda rasporedili komandna okruženja ili izmijenili osnovne datoteke prije otkrivanja, pa posjedovanje pouzdanih rezervnih kopija smanjuje vrijeme nedostupnosti tokom odgovora na incidente.
12. Pratiti izvore obavještajnih podataka o prijetnjama radi ažuriranja o novim zlonamjernim kôdovima ili tehnikama zaobilaženja koje ciljaju Bricksforge ili slične dodatke. Zlonamjerni akteri neprekidno unapređuju svoje metode, poput testiranja alternativnih PHP tipova datoteka ili šifrovanih naziva datoteka, čime informisanost omogućava proaktivna prilagođavanja odbrane.
13. Konačno, osigurati da sve instalacije sistema WordPress ostanu ažurirane, a ne samo dodatak Bricksforge, već i osnovni softver i drugi alati trećih strana. Porast ranjivosti visokog stepena ozbiljnosti naglašava važnost pravovremenog ispravljanja u cijelom ekosistemu radi sprječavanja niza povezanih incidenata u bezbjednosti.