نحوه سوءاستفاده از آسیب‌پذیری پلاگین Bricksforge
پلاگین Bricksforge به‌عنوان ابزاری چندمنظوره (Swiss Army Knife) برای Bricks معرفی شده است. Bricks یک ابزار بصری ساخت وب‌سایت در وردپرس است که از قابلیت‌هایی مانند انیمیشن، فرم‌های پیشرفته و توالی ویدئوهای مبتنی بر اسکرول (Scrolling Video Sequences) پشتیبانی می‌کند.
شرکت Patchstack اعلام کرده است که نخستین تلاش‌ها برای سوءاستفاده از این آسیب‌پذیری را در 7 اکتبر 2026، شناسایی کرده است. به گفته Patchstack، ریشه این آسیب‌پذیری به نحوه اعتبارسنجی اطلاعات فایل بازمی‌گردد. پلاگین هنگام آپلود اولیه فایل، نوع MIME آن را بررسی می‌کند؛ اما هنگام ارسال فرم، متادیتای فایل را بدون بررسی کافی می‌پذیرد. به‌طور مشخص، فیلد url در پارامتر temporaryFileUploads به‌درستی اعتبارسنجی نمی‌شود و این ضعف به مهاجم اجازه می‌دهد با دست‌کاری اطلاعات فایل، زمینه اجرای کد مخرب را فراهم کند.
این ضعف امنیتی به مهاجم اجازه می‌دهد با دست‌کاری آدرس فایل و ایجاد ناهماهنگی میان آدرس اعلام‌شده و مسیر واقعی فایل، کد دلخواه خود را از راه دور (RCE) اجرا کند. فرآیند سوءاستفاده از این آسیب‌پذیری در چهار مرحله انجام می‌شود:
- دریافت Nonce معتبر: مهاجم ابتدا بدون نیاز به احراز هویت، از طریق AJAX Endpoint با نام bricksforge_regenerate_nonce یک Nonce معتبر دریافت می‌کند. این مقدار برای اعتبارسنجی درخواست‌ها به کار می‌رود و معمولاً با هدف جلوگیری از حملاتی مانند جعل درخواست بین‌سایتی (CSRF) استفاده می‌شود.
- فایل ترکیبی GIF/PHP یا فایل پلی‌گلات (Polyglot File): مهاجم فایلی را آپلود می‌کند که از نظر ساختار، یک تصویر GIF معتبر است، اما کد PHP را نیز در خود جای داده است. این فایل بررسی نوع MIME را با موفقیت پشت سر می‌گذارد و در دایرکتوری آپلود موقت ذخیره می‌شود.
- ارسال فرم دست‌کاری‌شده: مهاجم فرمی را ارسال می‌کند که در آن مسیر فایل در فیلد file به تصویر تأییدشده GIF اختصاص دارد؛ اما مقدار فیلد url را طوری تغییر می‌دهد که آدرس فایل دارای پسوندی مانند .php باشد.
- اجرای کد PHP: پلاگین بدون بررسی کافی، به متادیتای ارسالی اعتماد می‌کند و محتوای فایل را در مسیری با پسوند PHP قرار می‌دهد. در نتیجه، با ارسال درخواست به آدرس این فایل، کد PHP تعبیه‌شده در آن اجرا می‌شود.
شرکت امنیتی Wordfence نیز در گزارش خود، نحوه سوءاستفاده از این آسیب‌پذیری را تشریح کرده است. ابتدا، مهاجم بدون نیاز به احراز هویت، از طریق AJAX Endpoint با نام bricksforge_regenerate_nonce یک Nonce معتبر دریافت می‌کند. سپس، فایل پلی‌گلات GIF/PHP را در دایرکتوری آپلود موقت قرار می‌دهد؛ جایی که بررسی نوع MIME فایل به‌درستی انجام می‌شود.
در مرحله بعد، مهاجم فرمی را با پارامتر دست‌کاری‌شده temporaryFileUploads ارسال می‌کند. در این درخواست، مسیر فایل در سمت سرور مربوط به فایل GIF تأییدشده است؛ اما مهاجم مقدار فیلد url را طوری تغییر می‌دهد که آدرس فایل با پسوند .php مشخص شود.
پیامدهای سوءاستفاده و روش‌های دور زدن فیلتر پسوند فایل
سوءاستفاده از آسیب‌پذیری پلاگین Bricksforge به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، کد دلخواه PHP را روی سرور اجرا کنند. این دسترسی می‌تواند پیامدهایی مانند کنترل کامل وب‌سایت وردپرسی، نصب وب‌شل (Web Shell)، دسترسی به اطلاعات حساس و ایجاد سازوکار پایداری (Persistence) برای حفظ دسترسی مهاجم در بلندمدت را در به دنبال داشته باشد.
بر اساس گزارش Patchstack، مهاجمان درخواست‌های دست‌کاری‌شده را به یکی از دو Endpoint ارسال فرم ارسال می‌کنند:
- Endpoint ارسال فرم از طریق REST API: /wp-json/bricksforge/v1/form_submit
- Endpoint پردازش درخواست‌های AJAX در پنل مدیریت وردپرس: /wp-admin/admin-ajax.phpبا پارامتر action برای اجرای عملیات bricksforge_form_submit
مهاجمان با دست‌کاری پارامتر temporaryFileUploads در درخواست ارسالی، بین مسیر فایل و آدرس ثبت‌شده برای آن مغایرت ایجاد می‌کنند. نمونه زیر ساختار یکی از این درخواست‌های دست‌کاری‌شده را نشان می‌دهد:
{
"temporaryFileUploads": [
{
"field": "form-field-file",
"file": {
"file": "/var/www/example.com/wp-content/uploads/bricksforge/tmp/img_example.gif",
"url": "https://example.com/wp-content/uploads/bricksforge/tmp/img_example.php",
"type": "image/gif"
}
}
]
}به گفته Wordfence، در این روش، مسیر ثبت‌شده در فیلد file مربوط به یک تصویر با فرمت GIF یا PNG است؛ اما آدرس درج‌شده در فیلد url به فایلی با پسوند PHP ختم می‌شود. مهاجم با ایجاد این مغایرت، از ضعف پلاگین در اعتبارسنجی اطلاعات فایل سوءاستفاده کرده و زمینه اجرای کد مخرب PHP را فراهم می‌کند.
مهاجمان برای دور زدن فیلترهای پسوند فایل، از چند روش استفاده می‌کنند:
- استفاده از پسوندهای جایگزین PHP: مانند .php5، .php7 و .phtml
- تغییر حروف بزرگ و کوچک در پسوند: مانند .PHP، .Php و .pHp
- استفاده از پسوندهای کدگذاری‌شده: مانند .%70hp، %2ephp و.%2570%2568%2570
مهاجمان با تغییر حروف یا کدگذاری پسوند فایل، فیلترهایی را دور می‌زنند که تنها الگوهای مشخصی از پسوندها را شناسایی می‌کنند.
بررسی الگوهای حمله و راهکارهای جلوگیری از سوءاستفاده از آسیب‌پذیری پلاگین Bricksforge
Patchstack در داده‌های تله‌متری خود، دو الگوی مشخص از فعالیت مهاجمان را شناسایی کرده است. در الگوی نخست، 44 آدرس IP ظرف چند ثانیه، در مجموع 56 درخواست با پیلودهای یکسان ارسال کرده‌اند. در الگوی دوم، 3 آدرس IP، 25 حالت مختلف از پسوندها و روش‌های کدگذاری PHP را روی یک فایل موقت آزمایش کرده‌اند تا فیلترهای مربوط به پسوند فایل را دور بزنند.
به گفته Patchstack، هر دو الگوی مشاهده‌شده حاکی از استفاده از ابزارهای خودکار برای سوءاستفاده از آسیب‌پذیری‌ها و بهره‌گیری از پروکسی‌های چرخشی (Rotating Proxies) یا زیرساخت‌های توزیع‌شده هستند. بااین‌حال، این شواهد به‌تنهایی برای نسبت دادن حملات به یک عامل تهدید مشخص کافی نیستند.
در مجموع، 63 آدرس IP متمایز در این حملات شناسایی شده‌اند. از میان آن‌ها، 6 آدرس IP مسئول ارسال حدود 46 درصد از کل درخواست‌ها بوده‌اند:
- 75.57[.]20
- 97.62[.]146
- 247.60[.]125
- 154.185[.]97
- 109.16[.]166
- 75.90[.]146
برای رفع این آسیب‌پذیری، به کاربران توصیه می‌شود پلاگین Bricksforge را به آخرین نسخه، یعنی 4.0.1، به‌روزرسانی کنند. همچنین، مدیران وب‌سایت‌ها باید درخواست‌های دریافتی در Endpoint زیر را بررسی کنند و به‌ویژه درخواست‌های حاوی پارامتر temporaryFileUploads را زیر نظر داشته باشند:
/wp-json/bricksforge/v1/form_submitبررسی ارسال‌های مکرر فرم و شناسایی فایل‌های PHP ناشناخته یا مشکوک در مسیر زیر نیز می‌تواند به شناسایی فعالیت‌های مخرب کمک کند:
/wp-content/uploads/bricksforge/tmp/سوءاستفاده از آسیب‌پذیری‌های WPC Product Bundles و Ninja Forms
هم‌زمان با گزارش سوءاستفاده از آسیب‌پذیری پلاگین Bricksforge، مهاجمان از دو آسیب‌پذیری Cross-Site Scripting (XSS) در پلاگین‌های WPC Product Bundles for WooCommerce و Ninja Forms نیز سوءاستفاده کرده‌اند. این آسیب‌پذیری‌ها به‌ترتیب با شناسه‌های CVE-2026-93836 و CVE-2026-94504 ثبت شده‌اند و هر دو امتیاز شدت 7.1 از 10 را در سیستم CVSS دریافت کرده‌اند.
مهاجمان با سوءاستفاده از این آسیب‌پذیری‌ها، پیلود جاوااسکریپتی (JavaScript Payload) با نام x.js را اجرا می‌کنند که قادر است یک پلاگین بکدور نصب کند و حساب‌های کاربری ادمین غیرمجاز بسازد.
این پلاگین بکدور قابلیت‌هایی مانند مدیریت فایل بدون احراز هویت دارد که از طریق ارسال مستقیم درخواست به فایل PHP اصلی آن قابل‌دسترسی است. همچنین، یک حساب ادمین مخفی در وردپرس ایجاد می‌کند که در صفحه کاربران نمایش داده نمی‌شود. این پلاگین یک لینک ورود ویژه (Magic Login URL) نیز ایجاد می‌کند که به هر کاربری که به آن دسترسی داشته باشد، اجازه می‌دهد با سطح دسترسی قدیمی‌ترین حساب ادمین وب‌سایت وارد پنل مدیریت شود.
Patchstack این بدافزار را ابزاری برای اجرای عملیات پس از نفوذ و حفظ دسترسی پایدار توصیف کرده است که در مرورگر ادمینی اجرا می‌شود که وارد حساب کاربری خود شده است.
این ابزار پس از فعال‌شدن، از نشست احراز هویت‌شده ادمین در پنل wp-admin سوءاستفاده می‌کند و با بهره‌گیری از دسترسی او، یک پلاگین مخرب نصب می‌کند، حساب ادمین دیگری می‌سازد و سازوکاری پنهان برای حفظ دسترسی مهاجم به وجود می‌آورد. در نهایت، اطلاعات مربوط به این فعالیت‌ها به زیرساختی تحت کنترل مهاجم ارسال می‌شوند.
به‌روزرسانی پلاگین‌ها به‌تنهایی برای رفع آلودگی‌های قبلی کافی نیست. پچ‌های امنیتی این دو پلاگین در نسخه‌های زیر منتشر شده‌اند:
- WPC Product Bundles for WooCommerce: نسخه 8.6.7
- Ninja Forms: نسخه 3.15.4
به‌روزرسانی این دو پلاگین به نسخه‌های دارای پچ امنیتی، مانع سوءاستفاده‌های بعدی از این آسیب‌پذیری‌ها می‌شود؛ اما آلودگی‌های قبلی وب‌سایت را برطرف نمی‌کند. برای شناسایی نشانه‌های نفوذ قبلی، لازم است موارد زیر بررسی شوند:
- بررسی پایگاه داده: پایگاه داده وردپرس را مستقیماً برای شناسایی حساب‌های ادمین مخفی بررسی کنید.
- بررسی دایرکتوری پلاگین‌های ضروری: دایرکتوری پلاگین‌های ضروری وردپرس (Must-Use Plugins) را از نظر وجود فایل‌های مشکوک بررسی کنید.
- بررسی لاگ‌های وب‌سرور: لاگ‌های وب‌سرور را برای شناسایی نشانه‌های نفوذ و فعالیت‌های مشکوک بررسی کنید.
روند سوءاستفاده از آسیب‌پذیری‌های وردپرس در سه‌ماهه دوم 2026
بر اساس داده‌های شرکت Wordfence، در سه‌ماهه دوم سال 2026، در مجموع 2,073 آسیب‌پذیری مرتبط با وردپرس گزارش شده است. تعداد آسیب‌پذیری‌های با شدت بالا نیز در مقایسه با سه‌ماهه نخست سال، 15.2 درصد افزایش یافته و به 182 مورد رسیده است. در همین بازه زمانی، حدود 573 هزار وب‌سایت وردپرسی نیز هک شده‌اند.
پنج آسیب‌پذیری زیر از جمله مواردی هستند که بیش از سایر آسیب‌پذیری‌ها هدف حملات قرار گرفته‌اند:
| شناسه آسیب‌پذیری | امتیاز CVSS | پلاگین و نسخه آسیب‌پذیر | نوع آسیب‌پذیری |
| CVE-2024-28000 | 9.8 | LiteSpeed Cache: نسخه 6.3.0.1 و قدیمی‌تر | افزایش سطح دسترسی (Privilege Escalation) بدون احراز هویت |
| CVE-2019-9879 | 9.8 | WPGraphQL: نسخه 0.2.3 و قدیمی‌تر | ایجاد حساب کاربری ادمین |
| CVE-2016-15042 | 9.8 | Frontend File Manager: نسخه‌های پیش از 4.0 N-Media Post Front-end Form: نسخه‌های پیش از 1.1 | آپلود فایل دلخواه |
| CVE-2023-28121 | 9.8 | WooCommerce Payments: نسخه‌های 4.8.0 تا 5.6.1 | دور زدن احراز هویت و افزایش سطح دسترسی |
| CVE-2025-3102 | 8.1 | SureTriggers: نسخه 1.0.78 و قدیمی‌تر | ایجاد حساب ادمین بدون احراز هویت |
بیشترین تعداد آدرس‌های IP شناسایی‌شده در حملات، متعلق به ایالات متحده بوده است. آلمان، جمهوری چک، استرالیا، نروژ، فرانسه، اوکراین، هلند، سوئیس و برزیل نیز در رتبه‌های بعدی قرار داشته‌اند.
Wordfence تأکید می‌کند که استفاده از فایروال قدرتمند، نصب به‌موقع پچ‌های امنیتی و ایمن‌سازی پیکربندی‌ها به مسدودسازی ترافیک مخرب پیش از رسیدن به وب‌سایت کمک می‌کند. همچنین، اسکن جامع امنیتی امکان شناسایی آسیب‌پذیری‌ها، بدافزارها و تغییرات مشکوکی را فراهم می‌کند که می‌توانند نشانه‌ای از نفوذ باشند. علاوهبراین، فعال‌سازی هشدارهای بلادرنگ (Real-Time Alerts) درباره تلاش‌های ورود و تغییرات فایل‌ها، به شناسایی سریع‌تر فعالیت‌های مشکوک و واکنش به‌موقع به تهدیدهای امنیتی کمک می‌کند.
