CVE-2026-4350
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Wtyczka Perfmatters dla WordPressa do wersji 2.5.9.1 włącznie zawiera podatność na usuwanie dowolnych plików poprzez manipulację ścieżką. Metoda `PMCS::action_handler()` przetwarza parametr `$_GET['delete']` bez walidacji, autoryzacji ani weryfikacji nonce, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym na usuwanie plików na serwerze.
Ocena ryzyka
Atakujący może usunąć plik `wp-config.php`, co zmusi WordPress do ponownej instalacji i umożliwi pełne przejęcie kontroli nad witryną. Ryzyko obejmuje utratę danych, przerwanie działania strony oraz całkowitą kompromitację systemu.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Perfmatters do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę do czasu wydania łatki.
Inne podatności w Perfmatters
Zobacz wszystkie- CVE-2026-57671Wysokie
Wtyczka Perfmatters w wersji 2.6.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-13251Wysokie
Wtyczka Perfmatters dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 2.6.4 włącznie poprzez parametr 's'. Umożliwia to nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.
Oryginalny opis (angielski, źródło NVD)
The Perfmatters plugin for WordPress is vulnerable to arbitrary file deletion via path traversal in all versions up to, and including, 2.5.9.1. This is due to the `PMCS::action_handler()` method processing the `$_GET['delete']` parameter without any sanitization, authorization check, or nonce verification. The unsanitized filename is concatenated with the storage directory path and passed to `unlink()`. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the server by using `../` path traversal sequences, including `wp-config.php` which would force WordPress into the installation wizard and allow full site takeover.