Если на сайте стоит Bricksforge 3.1.8.9 или старше, гость через форму может положить файл, который сервер выполнит как PHP. По CVE-2026-85097 Wordfence и NVD ставят 9.8, Patchstack пишет 10. Закрывать надо в 3.1.8.10. Плагина в каталоге wordpress.org нет.
В тот же проход гляньте ещё два slug из каталога, патчи для них уже там. Ultimate Multisite до 2.17.0 по известному email пускает в чужую учётку. Frontend Dashboard с 3.0.0 по 3.0.4 без логина забирает администратора.
- Bricksforge, slug bricksforge. Версии по 3.1.8.9 включительно. Без логина файл с формы выполняется как PHP. Патч 3.1.8.10, плагина в каталоге нет.
- Ultimate Multisite, slug ultimate-multisite, CVE-2026-103646. Версии до 2.17.0, в каталоге 80 активных установок. Гость входит в существующую учётку, вплоть до суперадмина сети, если знает email, на чекауте нет поля пароля и у этой учётки нет записи клиента в плагине. Патч 2.15.1 для CVE-2026-75957 это не закрывает, дыра остаётся по 2.16.1 включительно. Закрыто с 2.17.0, в каталоге уже 2.17.2.
- Frontend Dashboard, slug frontend-dashboard, CVE-2026-103692. По WPScan версии с 3.0.0 по 3.0.4, NVD пишет «до 3.0.5». В каталоге 500 активных установок. Без логина вызывается выбранная атакующим PHP-функция, можно забрать администратора. Патч 3.0.5, в каталоге сейчас 3.0.8.
Bricksforge, slug bricksforge
В changelog вендора 8 октября 2026 версия 4.0.1 подписана как правка загрузки файлов в Pro Forms. Вендор пишет, что это касается любого сайта с включёнными Pro Forms, даже без поля загрузки в форме. На 3.1.8.9 и старше хватает 3.1.8.10 из кабинета. Если уже стоит 4.0.0, берите 4.0.1. Из каталога wordpress.org его не обновить. Не поставить сегодня, снимите плагин с проды.
Перед обновлением двух плагинов из каталога снимите бэкап файлов и базы.
wp plugin list --fields=name,status,version | grep -Ei 'bricksforge|ultimate-multisite|frontend-dashboard' wp plugin update ultimate-multisite frontend-dashboard
Если ни bricksforge, ни ultimate-multisite, ни frontend-dashboard в списке плагинов нет, эти дыры сайта не касаются.
