Risk Letters

Udnyttet sårbarhed

CVE-2017-20289

TLP:CLEAR

Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion')

Broadstreet Ad Widget plugin til WordPress 2.2.0 før 2.12.0 indeholder en local file inclusion sårbarhed, der tillader autentificerede brugere at udføre angriber-valgte PHP-filer ved at sende usaniterede input til require i views/modal/index.php. Angribere kan levere mappegennemgangsekvenser i parameteren 'step' med eventuelt en null byte for at inkludere lokale filer og udføre PHP-kode. Udnyttelsesbevis blev først observeret af Shadowserver Foundation den 2023-10-19.

Fakta

  • Leverandør: Broadstreet
  • Produkt: Ad Widget
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,9 %
  • Første kendte udnyttelse: 22. oktober 2026
  • Første gang set af Risk Letters: 22. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD