Bricksforge: Nicht authentifizierter beliebiger Datei-Upload in Pro Forms

Zusammenfassung

Das WordPress-Plugin Bricksforge erlaubt nicht authentifizierten Benutzern das Hochladen von Dateien über die Formular-Upload-Verarbeitung, da das vom Angreifer kontrollierte url-Feld des Parameters 'temporaryFileUploads' ungenügend validiert wird. Ein GIF/PHP-Polyglot kann die MIME-Prüfung bestehen und zu einer .php-Datei umbenannt werden, wodurch ein Angreifer ohne Anmeldung beliebigen PHP-Code auf dem Server ausführen kann. Patchstack meldet eine aktive Ausnutzung, wobei erste Versuche am 7. Oktober 2026 beobachtet wurden, hauptsächlich gegen den REST-Endpunkt für Formularübermittlungen von Bricksforge.

Betroffen

• Bricksforge 3.1.8.9 und früher (alle Versionen bis und mit 3.1.8.9)
• Betroffene Komponente: Datei-Upload in Pro Forms

Behoben in

• Behoben in 3.1.8.10 und 4.0.0 laut Changelog des Herstellers
• Neueste Version im Changelog des Herstellers: 4.0.2 (13. Oktober 2026), die zusätzlich weitere Sicherheitshärtungen der REST-Endpunkte enthält

Umgehung

• Das Update ist die bevorzugte Massnahme; wo ein Patch möglich ist, ist kein Workaround nötig
• Falls das Patchen verzögert werden muss, eine WAF- oder Sicherheitsplugin-Regel einsetzen, die diesen Angriff blockiert; Patchstack hat eine Schutzregel bereitgestellt
• Erwägen Sie, die Komponente Pro Forms zu deaktivieren, bis das Update eingespielt ist, falls Formulare mit Datei-Upload nicht zwingend benötigt werden

Ausnutzung

• Aktiv ausgenutzt: ja, laut Patchstack und weiteren Meldungen
• Kein öffentlicher Proof of Concept in den geprüften Quellen gefunden; es ist davon auszugehen, dass funktionsfähiger Exploit-Code verfügbar ist
• Status im CISA-KEV-Katalog: nicht verifiziert
• CISA SSVC: Exploitation none, automatable yes, technical impact total

Unsere Empfehlung

• Bricksforge sofort auf 4.0.2 oder mindestens 3.1.8.10 / 4.0.0 aktualisieren und im Changelog des Herstellers die neueste Version prüfen
• Prüfen, ob auf der Website Bricksforge 3.1.8.9 oder früher läuft; diese Prüfung ist dringend
• Anfragen an /wp-json/bricksforge/v1/form_submit mit einem temporaryFileUploads-Parameter prüfen und auf wiederholte Formularübermittlungen achten
• Verzeichnis /wp-content/uploads/bricksforge/tmp/ auf unerwartete PHP-Dateien prüfen und diese nach dem Update entfernen, da ein Update bereits abgelegte Dateien nicht entfernt
• Auf unbekannte WordPress-Administratorkonten (auch versteckte) und unerwartete Magic-Login-URLs prüfen; jeder Befund ist als Kompromittierung zu behandeln, Zugangsdaten sind zurückzusetzen
• Im Bricksforge gespeicherte API-Schlüssel vorsorglich erneuern, wie vom Hersteller empfohlen
• Den Changelog des Plugins beobachten, da Patchstack wiederholt schwerwiegende Schwachstellen in diesem Plugin meldet

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (5 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Wayang1337/CVE-2026-85097 · tc4dy/CVE-2026-85097-Toolkit · Masriyan/CVE-2026-85097 · RootMantap/CVE-2026-85097 · BlackHatExploitation/CVE-2026-85097

Quellen der Recherche

• Bricksforge version changelog bricksforge.io
• Wordfence threat intelligence entry www.wordfence.com
• Patchstack: critical unauthenticated arbitrary file upload exploited in Bricksforge patchstack.com
• SecurityWeek: Bricksforge vulnerability exploited in the wild www.securityweek.com
• The Hacker News: attackers exploit Bricksforge thehackernews.com
• SOCRadar: Bricksforge CVE-2026-85097 exploited RCE socradar.io
• eSecurityPlanet: Bricksforge CVE-2026-85097 WordPress RCE www.esecurityplanet.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:34.