Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Attackers Exploit CVSS 10.0 Bricksforge WordPress Flaw Enabling Unauthenticated RCE

1 minute de lecture

Mis à jour :

Exploitation critique de la faille RCE dans le plugin Bricksforge pour WordPress

Le plugin WordPress Bricksforge fait l’objet d’attaques actives exploitant une vulnérabilité critique permettant l’exécution de code à distance (RCE) sans authentification.

Points clés :

  • Vulnérabilité : Une insuffisance de validation des métadonnées des fichiers lors de la soumission de formulaires permet à un attaquant de manipuler le paramètre temporaryFileUploads.
  • Méthode d’attaque : Les attaquants téléversent un fichier polyglotte (image valide contenant du code PHP) puis soumettent un formulaire où le chemin d’accès au fichier est modifié pour pointer vers une extension PHP, provoquant son exécution par le serveur.
  • Campagnes observées : L’activité est automatisée et distribuée via des réseaux de proxys, utilisant diverses techniques de contournement (encodage, variations d’extensions, casses différentes).

Vulnérabilités identifiées :

  • CVE-2026-85097 (Score CVSS : 10.0) : Faille RCE dans le plugin Bricksforge (versions ≤ 3.1.8.9).
  • CVE-2026-93836 & CVE-2026-94504 : Failles XSS exploitées dans WPC Product Bundles for WooCommerce et Ninja Forms pour créer des comptes administrateurs factices et déployer des backdoors.

Recommandations :

  • Mise à jour immédiate : Appliquer les correctifs en installant la version 4.0.1 du plugin Bricksforge (ainsi que les dernières versions pour les plugins concernés par les failles XSS).
  • Audit de sécurité : Vérifier l’intégrité du site à la recherche de fichiers PHP inattendus dans /wp-content/uploads/bricksforge/tmp/ et auditer la liste des comptes administrateurs.
  • Surveillance : Inspecter les journaux du serveur (logs) pour détecter toute requête suspecte ciblant les points de terminaison bricksforge/v1/form_submit ou admin-ajax.php.
  • Nettoyage post-compromission : Notez qu’une simple mise à jour ne supprime pas un compte administrateur ou une backdoor déjà installés ; une recherche manuelle en base de données et dans les fichiers “must-use” est nécessaire en cas d’infection.

Source

Vous pourriez aimer