Risk Letters

Udnyttet sårbarhed

CVE-2016-20080

TLP:CLEAR

Utilstrækkelig kontrol af filnavn for Include/Require-erklæring i PHP-program ('PHP Remote File Inclusion')

WordPress Brandfolder-plugin version 3.0 og tidligere indeholder en local file inclusion-sårbarhed i callback.php, der tillader uauthenticerede angribere at inkludere vilkårlige filer ved at manipulere wp_abspath-parameteren. Angribere kan levere path traversal-sekvenser eller fjern-URLs gennem wp_abspath-parameteren for at læse følsomme filer som wp-config.php eller udføre fjern-kode.

Fakta

  • Leverandør: Brandfolder
  • Produkt: Brandfolder
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,4 %
  • Første kendte udnyttelse: 22. september 2026
  • Første gang set af Risk Letters: 22. september 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD