Risk Letters

Udnyttet sårbarhed

CVE-2016-20101

TLP:CLEAR

Ukorrekt kontrol af filnavn for Include/Require-sætning i PHP-program ('PHP remote file inclusion')

Issuu Panel-plugin for WordPress før 1.6.6 indeholder en PHP-filindlysningssårbarhed, der gør det muligt for uautoriserede angribere at inkludere fjern- eller lokale filer gennem parameteren 'abspath'. Angribere kan sende GET-anmodninger til menu/documento/requests/ajax-docs.php med en udarbejdet abspath-værdi videregivet til require() for at udføre fjern-PHP-kode eller inkludere lokale filer. Udnyttelsesbevis blev først observeret af Shadowserver Foundation den 20-10-2023.

Fakta

  • Leverandør: Pedro Marcelo
  • Produkt: Issuu Panel
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,4 %
  • Første kendte udnyttelse: 20. oktober 2026
  • Første gang set af Risk Letters: 20. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD