Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE
The Hacker News · 12 oct, 11:02
Qué hacer: Actualiza Bricksforge a versión 3.1.8.10 o posterior (recomendada 4.0.1), WPC Product Bundles para WooCommerce a 8.6.7 o posterior, y Ninja Forms a la última versión disponible.
Se está explotando activamente una vulnerabilidad crítica (CVE-2026-85097, CVSS 10.0) en el plugin Bricksforge para WordPress que permite RCE sin autenticación. Atacantes pueden subir código PHP malicioso manipulando metadatos de archivos en formularios, con explotación confirmada desde el 7 de octubre de 2026. También se explotan flaws en WPC Product Bundles for WooCommerce y Ninja Forms para instalar backdoors y crear cuentas administrativas ocultas.
La vulnerabilidad en Bricksforge afecta a versiones hasta 3.1.8.9 (parcheada en 3.1.8.10) y surge de una validación insuficiente del campo 'url' en el parámetro 'temporaryFileUploads' durante el envío de formularios. El ataque consta de cuatro pasos: obtener un nonce válido desde el endpoint AJAX 'bricksforge_regenerate_nonce' sin autenticación, subir un archivo GIF/PHP polyglot que pase validación MIME, enviar un formulario donde el path del fichero apunta al archivo validado pero el campo 'url' termina en extensión .php, y Bricksforge coloca el contenido en la ubicación PHP permitiendo ejecución de código.
Patchstack detectó explotación desde 63 IPs únicas el 7 de octubre a las 21:47 UTC, con patrones de automatización evidente: un cluster de 44 IPs enviando 56 requests idénticas en segundos, otro de 3 IPs probando 25 variaciones de extensiones PHP y codificaciones. Los atacantes usan extensiones alternas (.php5, .php7, .phtml), manipulación de mayúsculas y codificaciones (.%70hp, %2ephp) para eludir filtros. Las vulnerabilidades XSS en WPC Product Bundles (CVE-2026-93836) y Ninja Forms (CVE-2026-94504) se aprovechan para instalar plugins backdoor y crear administradores ocultos con URLs de login mágicos.
Puntos clave
- Actualiza Bricksforge a 3.1.8.10 o posterior (versión recomendada 4.0.1)
- Explotación confirmada desde 7 de octubre de 2026, CVSS 10.0, RCE sin autenticación
- Ataque: polyglot GIF/PHP + manipulación de campo 'url' en temporaryFileUploads
- Audita /wp-json/bricksforge/v1/form_submit y busca archivos PHP inesperados en /wp-content/uploads/bricksforge/tmp/
- WPC Product Bundles y Ninja Forms también explotadas para backdoors