Belépés nélkül futtatható kód a Bricksforge hibájával, már elérhető a javítás
A The Hacker News beszámolója szerint hitelesítés nélkül tölthető fel és futtatható PHP-kód a WordPresshez készült Bricksforge bővítmény 3.1.8.9-es és korábbi verzióiban. A magyar oldalüzemeltetők számára is a frissítés a teendő: a javítás a 3.1.8.10-es kiadásban jelent meg, a forrás pedig már a 4.0.1-es verzió telepítését ajánlja.
Nem a teljes WordPress, hanem a Bricksforge érintett
A CVE-2026-85097 azonosítójú sérülékenység a Bricks vizuális weboldalépítőhöz kínált Bricksforge bővítményben található. Ez többek között animációkkal, összetett űrlapokkal és görgetéshez kapcsolódó videós megoldásokkal egészíti ki az oldalépítőt. Az érintett verziók köre a 3.1.8.9-es kiadásig terjed, azt is beleértve.
A sikeres támadás során idegen PHP-kód futhat a webhely szerverén. Ezzel a támadó átveheti az oldal irányítását, érzékeny adatokat olvashat ki, és tartós hozzáférést alakíthat ki. A hiba kihasználásához nincs szükség bejelentkezésre.
A súlyossági pontszámnál eltérés van a források között: a sajtóbeszámoló 10,0-s, a ténycsomag CVE-adatlapja 9,8-as CVSS-értéket közöl. Mindkettő kritikus besorolást jelent; a CVSS a műszaki súlyosságot méri, nem a támadások előfordulását.
A feltöltött kép adatai vezetnek a kódfuttatáshoz
A probléma az űrlapbeküldéskor átadott fájladatok ellenőrzésében van. A bővítmény az első feltöltéskor ellenőrzi a fájl típusát, később azonban megbízik a kliens által küldött adatokban. A temporaryFileUploads paraméteren belüli url mező nem kap megfelelő ellenőrzést.
Így egy érvényes képnek számító, de PHP-kódot is tartalmazó fájl átjuthat a feltöltési ellenőrzésen. A manipulált űrlapadatok hatására a tartalma PHP-kiterjesztésű helyre kerülhet, ahol a fájl lekérésekor lefut a beágyazott kód.
A Patchstack október 7-én észlelt támadási kísérleteket. A megfigyelt kérésekben eltérő PHP-kiterjesztések, kis- és nagybetűs változatok, valamint kódolt alakok is szerepeltek. Az ismétlődő mintázatok automatizált próbálkozásokra utaltak, de önmagukban nem azonosítottak egyetlen elkövetőt.
Frissítés és a behatolás nyomainak ellenőrzése
A 3.1.8.10-es kiadás már tartalmazza a javítást, azóta újabb verzió is megjelent: a beszámoló a 4.0.1-re frissítést javasolja.
Az esetleges behatolás felderítéséhez a forrás külön ellenőrzéseket is ajánl. Ide tartoznak a Bricksforge űrlapbeküldési címére érkező, temporaryFileUploads paramétert tartalmazó kérések, az ismételt űrlapbeküldések és az ideiglenes feltöltési könyvtárban megjelenő váratlan PHP-fájlok. Ezek vizsgálata az incidens nyomainak keresését szolgálja, nem helyettesíti a javított kiadás telepítését.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum