Aviso crítico de seguridad. Se ha identificado una vulnerabilidad de inclusión de archivos (Local/Remote File Inclusion) en el plugin Issuu Panel para WordPress, antes de la versión 1.6.6, que permite a un atacante no autenticado ejecutar código PHP arbitrario en el servidor. La explotación de esta vulnerabilidad, clasificada como crítica, requiere una acción inmediata de actualización del plugin para mitigar el riesgo de compromiso total del sitio web.
Resumen ejecutivo
Una vulnerabilidad de inclusión de archivos PHP, catalogada como crítica con una puntuación CVSS de 9.2, afecta al plugin Issuu Panel para WordPress en versiones anteriores a la 1.6.6. Esta falla, identificada como CVE-2016-20101 pero con evidencias de explotación recientes, permite a atacantes no autenticados ejecutar código arbitrario en el servidor, comprometiendo la confidencialidad, integridad y disponibilidad de los datos. Se recomienda revisar la versión del plugin y aplicar la actualización disponible de forma inmediata.
| Ficha técnica | |
|---|---|
| CVE | CVE-2016-20101 (Fuente primaria: NVD) |
| Fabricante | Pedro Marcelo (según CVE.org CNA) |
| Producto | Issuu Panel (plugin de WordPress) |
| Fecha de publicación | 2026-10-20T21:17:13.727 |
| Severidad | CRITICAL |
| CVSS | 9.2 (CVSS:4.0) |
| Puntuación de prioridad (RyzerBot) | 205 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad reside en una gestión inadecuada del control de nombre de archivo en las funciones de inclusión de PHP, categorizada bajo el CWE-98 («Improper Control of Filename for Include/Require Statement in PHP Program», a menudo referido como ‘PHP Remote File Inclusion’). En concreto, el plugin Issuu Panel, en su versión anterior a la 1.6.6, no saneamiento adecuadamente el parámetro abspath que se pasa a la función require() en el archivo menu/documento/requests/ajax-docs.php.
Esta deficiencia de seguridad permite a un atacante no autenticado manipular dicho parámetro mediante peticiones GET, con el fin de forzar al servidor a incluir y ejecutar un archivo remoto (alojado en un servidor controlado por el atacante) o un archivo local del sistema (técnica conocida como Local File Inclusion). La explotación de esta vulnerabilidad puede conducir a la ejecución remota de código PHP en el servidor, con los consiguientes riesgos de robo de datos, alteración del contenido del sitio o incluso el compromiso total del entorno de alojamiento.
Es importante destacar que, aunque el identificador sugiere una fecha de registro de 2016, la evidencia de explotación en entornos reales fue observada por la Shadowserver Foundation el 2023-10-20, lo que ha motivado su clasificación como crítica en los análisis de amenazas recientes.
Productos y versiones vulnerables
La vulnerabilidad CVE-2016-20101 afecta al plugin Issuu Panel para WordPress, desarrollado por Pedro Marcelo. Según la información publicada por CVE.org, todas las versiones anteriores a la 1.6.6 están afectadas. El siguiente listado refleja las versiones afectadas según las fuentes consultadas:
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| Issuu Panel (plugin WordPress) | Pedro Marcelo | 1.0 hasta versiones anteriores a 1.6.6 | 1.6.6 |
No se han publicado versiones adicionales afectadas ni listas de entornos concretos en las fuentes consultadas. Se recomienda verificar la versión instalada del plugin y actualizar a la 1.6.6 o superior si no se ha hecho previamente.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada como CRITICAL con una puntuación CVSS v4.0 de 9.2. El vector de ataque es remoto (AV:N) con complejidad de ataque baja (AC:L) y no requiere privilegios (PR:N) ni interacción del usuario (UI:N).
El fallo se localiza en el fichero menu/documento/requests/ajax-docs.php, donde el parámetro abspath se pasa directamente a la función require() de PHP. Esto permite a un atacante no autenticado:
- Incluir archivos locales del servidor, pudiendo leer contenido sensible como ficheros de configuración, credenciales o datos de la aplicación.
- Incluir archivos remotos, lo que puede resultar en la ejecución remota de código en el servidor si la configuración de PHP lo permite.
- Tomar control del sitio web, modificar contenido, instalar malware o escalar privilegios sobre el servidor y otros sitios alojados.
El impacto sobre la confidencialidad, integridad y disponibilidad de los datos es alto, según el vector CVSS, lo que convierte a cualquier WordPress con este plugin en un objetivo crítico de explotación masiva.
Estado de explotación conocida
Las fuentes consultadas confirman que se ha observado actividad de explotación en entornos reales. Concretamente, la fundación Shadowserver registró evidencia de explotación por primera vez el 20 de octubre de 2023. Esta información aparece tanto en la descripción de NVD como en la ficha de CVE.org.
Además de esta evidencia de explotación activa, se han publicado pruebas de concepto y firmas de detección que facilitan la explotación, como la plantilla para la herramienta Nuclei alojada en el repositorio público de ProjectDiscovery. Esto incrementa notablemente el riesgo de ataques automatizados. No se ha publicado información adicional sobre campañas específicas o grupos de atacantes asociados.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. Por tanto, no se dispone de IOC publicados para esta vulnerabilidad. En consecuencia, no se deben inventar ni utilizar indicadores no verificados.
Como medida complementaria, se recomienda a los administradores revisar los registros de acceso web en busca de peticiones sospechosas dirigidas a la ruta menu/documento/requests/ajax-docs.php con valores anómalos en el parámetro abspath, aunque no existan listas oficiales de IOC publicadas por las fuentes de referencia.
Cómo comprobar si estás afectado
La vulnerabilidad CVE-2016-20101 afecta a todas las versiones del plugin Issuu Panel para WordPress anteriores a la 1.6.6. La comprobación efectiva requiere verificar qué versión tienes instalada en tu sitio. No se han publicado comandos de detección específicos en las fuentes consultadas, por lo que la verificación debe realizarse mediante los métodos estándar de WordPress.
Pasos para verificar tu instalación
- Accede al panel de administración de WordPress y navega a
Plugins. Localiza «Issuu Panel» en la lista y comprueba la versión mostrada. Si es inferior a1.6.6, tu instalación es vulnerable. - Comprueba la existencia del archivo vulnerable: la ruta
menu/documento/requests/ajax-docs.phpestá expuesta en el plugin. Si el archivo existe y el plugin está activo, el sitio es vulnerable a la inclusión de archivos remotos o locales. - Monitoriza los registros del servidor en busca de peticiones GET anómalas dirigidas a
ajax-docs.phpcon parámetrosabspathmodificados. La actividad de explotación fue observada por primera vez por Shadowserver Foundation el 2023-10-20.
Si tu versión es inferior a la 1.6.6, considera el sitio comprometido hasta que completes la actualización o mitigación descrita a continuación.
Mitigación y actualización
Para mitigar el riesgo asociado a CVE-2016-20101, se recomienda seguir las acciones oficiales. No se ha publicado una versión corregida específica en las fuentes consultadas; la referencia al plugin en WordPress.org es la fuente oficial del fabricante.
Acciones recomendadas
- Revisar el aviso oficial del fabricante: consulta la página del plugin en WordPress.org y el aviso de VulnCheck para obtener detalles sobre la mitigación publicada.
- Aplicar la actualización o mitigación publicada: en el momento de redactar este artículo, no se ha confirmado una versión posterior a la 1.6.6 que corrija la vulnerabilidad. Hasta que se publique una corrección, se recomienda desactivar y eliminar el plugin si no es esencial para el funcionamiento del sitio.
- Reforzar el servidor: implementa reglas de firewall de aplicación web (WAF) que bloqueen peticiones que contengan el parámetro
abspathen la rutaajax-docs.php. - Revisar el compromiso: dado que la explotación se ha observado en entornos reales desde 2023, realiza una auditoría de los archivos del servidor y los registros de acceso en busca de inclusiones no autorizadas.
Si el plugin no puede actualizarse a una versión segura, la alternativa más conservadora es eliminarlo por completo del sitio. Las versiones vulnerables permiten la ejecución remota de código PHP, lo que puede comprometer todo el servidor.
Checklist para administradores
- ☐ Verificar la versión de «Issuu Panel» instalada en el panel de WordPress.
- ☐ Confirmar si la versión instalada es anterior a la 1.6.6.
- ☐ Revisar el aviso oficial del fabricante en WordPress.org y las referencias de VulnCheck y Packet Storm.
- ☐ Aplicar la actualización publicada o, en su defecto, desactivar y eliminar el plugin.
- ☐ Revisar los registros del servidor en busca de peticiones a
ajax-docs.phpcon el parámetroabspathmanipulado. - ☐ Auditar los archivos del servidor en busca de archivos PHP inyectados o modificados.
- ☐ Cambiar todas las credenciales de acceso al sitio y al panel de WordPress como medida preventiva.
- ☐ Permanecer atento a nuevas actualizaciones del plugin y a avisos de seguridad adicionales.
Preguntas frecuentes
¿Qué es CVE-2016-20101?
Es una vulnerabilidad de inclusión de archivos PHP en el plugin Issuu Panel para WordPress antes de la versión 1.6.6. Permite a atacantes no autenticados incluir archivos remotos o locales a través del parámetro abspath, lo que puede llevar a la ejecución remota de código en el servidor.
¿Cómo se explota esta vulnerabilidad?
El atacante envía una petición GET al archivo menu/documento/requests/ajax-docs.php con un valor manipulado en el parámetro abspath. Este valor se pasa directamente a la función require() de PHP, permitiendo la inclusión de archivos remotos o locales.
¿Qué versión de WordPress se ve afectada?
La vulnerabilidad está en el plugin, no en WordPress. Todas las versiones de WordPress que ejecuten el plugin Issuu Panel en versiones anteriores a la 1.6.6 son vulnerables.
¿Existe una versión corregida?
Las fuentes consultadas indican que la versión 1.6.6 es la que corrige la vulnerabilidad. Sin embargo, no se ha confirmado una versión posterior que resuelva el problema de forma definitiva. Consulta la página del plugin en WordPress.org para obtener la versión más reciente disponible.
¿Cómo sé si mi sitio ha sido comprometido?
Si observas archivos PHP inusuales en el servidor, peticiones anómalas en los registros de acceso dirigidas a ajax-docs.php con parámetros abspath, o comportamiento inesperado en el sitio, existe la posibilidad de compromiso. Realiza una auditoría completa del servidor y considera restaurar desde una copia de seguridad limpia anterior a la fecha de la posible explotación.
¿Qué es CWE-98?
Es la clasificación de la debilidad subyacente: «Improper Control of Filename for Include/Require Statement in PHP Program». Esta categoría cubre los errores de inclusión de archivos (RFI/LFI) que permiten a un atacante controlar el archivo incluido en la ejecución del código.
Fuentes oficiales
Consulta las siguientes referencias para obtener información técnica detallada y actualizaciones sobre esta vulnerabilidad: