CVE-2026-57671
WysokieCVSS 7.1Streszczenie
Wtyczka Perfmatters w wersji 2.6.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Perfmatters do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Perfmatters
Zobacz wszystkie- CVE-2026-13251Wysokie
Wtyczka Perfmatters dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 2.6.4 włącznie poprzez parametr 's'. Umożliwia to nieuwierzytelnionym atakującym odczyt zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.
- CVE-2026-4350Wysokie
Wtyczka Perfmatters dla WordPressa do wersji 2.5.9.1 włącznie zawiera podatność na usuwanie dowolnych plików poprzez manipulację ścieżką. Metoda `PMCS::action_handler()` przetwarza parametr `$_GET['delete']` bez walidacji, autoryzacji ani weryfikacji nonce, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym na usuwanie plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in perfmatters <= 2.6.4 versions.