Уязвимость CVE-2026-85097 (9.8) затрагивает плагин Bricksforge версии 3.1.8.9 и более ранние. Разработчики устранили проблему в выпуске 3.1.8.10, поэтому администраторам рекомендуют обновиться немедленно.
Причина кроется в параметре temporaryFileUploads: при первичной загрузке плагин проверяет MIME-тип файла, но затем доверяет адресу, который прислал браузер. Из-за этого атакующий без учётной записи может отправить гибридный GIF со встроенным PHP-кодом и подменить URL в метаданных на адрес с расширением PHP.
Первые попытки эксплуатации зафиксированы 7 октября 2026 года, запросы пришли с 63 уникальных IP-адресов. В большинстве перехваченных запросов исходный файл имел расширение .gif или .png, а конечный адрес часто указывал на PHP-скрипт (.php5 и .phtml).