Bricksforge 是一款 WordPress 插件，被宣传为 Bricks 的“瑞士军刀”。Bricksforge 是一款 WordPress 可视化网站构建工具，支持动画、高级表单和滚动视频序列。
WordPress 安全公司 Patchstack 表示，它于 2026 年 10 月 7 日晚上 9:47 UTC 检测到了针对该漏洞的利用活动。
Patchstack表示： “Bricksforge 会在文件首次上传时验证其 MIME 类型。但是，当表单稍后提交时，它会信任客户端发送的文件元数据。特别是，它不会验证 'temporaryFileUploads' 参数中的 'url' 字段。”
从根本上讲，该漏洞源于表单提交过程中对“temporaryFileUploads”参数中的URL字段验证不足。攻击者可以通过以下四个步骤利用此漏洞实现远程代码执行 (RCE)：
- 从未经身份验证的“bricksforge_regenerate_nonce”AJAX端点请求有效的 nonce。
- 上传 GIF/PHP 混合文件：该文件既是有效的图像文件，也包含 PHP 代码。它通过了 MIME 类型检查，并被保存到临时上传目录中。
- 提交一个表单，其中“文件”路径指向已验证的图像，但“url”以 PHP 扩展名结尾。
- Bricksforge 默认信任提交的元数据，并将文件内容放置在 PHP 位置，从而在请求该文件时执行嵌入代码。
Wordfence在一份关于该漏洞的公告中表示： “未经身份验证的攻击者可以首先通过 bricksforge_regenerate_nonce AJAX 端点获取有效的 nonce，然后将 GIF/PHP 多语言文件上传到临时上传目录，该目录会正确执行 MIME 类型验证。” “随后，攻击者可以提交一个带有精心构造的‘temporaryFileUploads’参数的表单，其中服务器端的文件路径指向已验证的 GIF 文件，但攻击者控制的 URL 字段以 .php 扩展名结尾。”
成功利用此漏洞可能导致服务器上任意 PHP 代码执行，攻击者可以利用此漏洞控制 WordPress 网站、部署 web shell、读取敏感数据并建立持久访问权限。 Patchstack 观察到的攻击中，威胁行为者被发现以 Bricksforge REST API 表单提交端点（“/wp-json/bricksforge/v1/form_submit”）或“/wp-admin/admin-ajax.php”端点为目标，使用“bricksforge_form_submit”操作以及精心构造的“temporaryFileUploads”参数。 以下是一个典型的请求示例——
{ "temporaryFileUploads": [ { "field": "form-field-file", "file": { "file": "/var/www/example.com/wp-content/uploads/bricksforge/tmp/img_example.gif", "url": "https://example.com/wp-content/uploads/bricksforge/tmp/img_example.php", "type": "image/gif" } } ] }根据 Wordfence 的说明，威胁行为者利用了不匹配之处，即指定的“file”参数是 GIF（或 PNG）文件，而实际的 URL 指向 PHP 有效载荷。 为了绕过扩展过滤，该攻击活动利用了其他 PHP 扩展名（例如 .php5、.php7 或 .phtml）、大小写操纵（例如 .PHP、.Php 或 .pHp）以及编码扩展名（例如 .%70hp、%2ephp 或 .%2570%2568%2570）。 Patchstack表示：“我们的遥测数据中有两个集群尤为突出。第一个集群中，44个IP地址在几秒钟内发送了56个负载完全相同的请求。第二个集群中，三个IP地址针对同一个临时文件测试了25种不同的PHP扩展名和编码。” “这两种模式都指向通过轮换代理或分布式基础设施进行的自动化攻击。但它们本身并不能将攻击活动归因于单一威胁行为者。” 该活动已记录到来自 63 个不同来源 IP 地址，其中 6 个 IP 地址的请求量约占所有请求量的 46% -
- 177.75.57[.]20
- 23.97.62[.]146
- 84.247.60[.]125
- 38.154.185[.]97
- 150.109.16[.]166
- 153.75.90[.]146
建议用户将插件更新至最新版本 (4.0.1) 以降低风险。建议网站所有者审核发送到“/wp-json/bricksforge/v1/form_submit”端点的包含“temporaryFileUploads”参数的请求，以及重复的表单提交和“/wp-content/uploads/bricksforge/tmp/”目录下的意外 PHP 文件。
WooCommerce 和 Ninja Forms 的 WPC 产品捆绑包漏洞利用
与此同时，威胁行为者还利用两个不相关的 WordPress 插件中的跨站脚本 (XSS) 漏洞，即 WPC Product Bundles for WooCommerce（CVE-2026-93836，CVSS 评分：7.1）和 Ninja Forms（CVE-2026-94504，CVSS 评分：7.1），来传递能够部署后门插件并创建恶意管理员帐户的 JavaScript 有效载荷（“x.js”）。 该插件提供了一个无需身份验证的文件管理器，可通过直接请求插件的主 PHP 文件访问。它还会创建一个隐藏在“用户”屏幕之外的 WordPress 管理员帐户，并安装一个“魔法登录 URL”，该 URL 会将帐户持有者验证为网站最早的管理员。 Patchstack表示： “这是一个WordPress后渗透和持久化植入程序，旨在已登录管理员的浏览器中执行。一旦触发，它会滥用受害者的已认证wp-admin会话来安装恶意WordPress插件、创建一个新的管理员帐户、调用额外的隐藏持久化机制，并将结果报告给攻击者控制的基础设施。” 值得强调的是，虽然更新存在漏洞的插件（WooCommerce 的 WPC Product Bundles 插件版本为 8.6.7，Ninja Forms 插件版本为 3.15.4）可以防止进一步的攻击，但并不能清除已存在的感染。网站所有者必须通过直接查询数据库、检查常用插件目录以及查看 Web 服务器日志来审核是否存在隐藏的管理员帐户。
2026年第二季度WordPress漏洞利用趋势
根据 Wordfence 的数据，2026 年第二季度共发布了 2,073 个与 WordPress 相关的漏洞，其中高威胁漏洞的数量比上一季度增加了 15.2%，达到 182 个。在此期间，约有 573,000 个 WordPress 网站遭到入侵。 以下列出了攻击者最常针对的五大漏洞——
- CVE-2024-28000（CVSS评分：9.8）- LiteSpeed Cache <= 6.3.0.1 - 未经身份验证的权限提升
- CVE-2019-9879（CVSS 评分：9.8）- WPGraphQL <= 0.2.3 - 管理员用户创建
- CVE-2016-15042（CVSS评分：9.8）- 前端文件管理器 < 4.0 和 N-Media Post 前端表单 < 1.1 及 - 任意文件上传
- CVE-2023-28121（CVSS评分：9.8）- WooCommerce Payments 4.8.0 - 5.6.1 身份验证绕过和权限提升
- CVE-2025-3102（CVSS 评分：8.1）- SureTriggers <= 1.0.78 - 创建未经身份验证的管理用户
绝大多数攻击 IP 地址来自美国，其次是德国、捷克、澳大利亚、挪威、法国、乌克兰、荷兰、瑞士和巴西。
