CVE-2026-4350 in Perfmatters Plugin
الملخص
بحسب VulDB • 28/06/2026
يحتوي مكون ووردبريس (WordPress) "Perfmatters" على ثغرة تسمح بحذف الملفات بشكل تعسفي عبر اختراق المسار (Path Traversal) في جميع الإصدارات حتى 2.5.9.1 شاملاً. ويعود ذلك إلى معالجة الدالة `PMCS::action_handler()` للمعامل `$_GET['delete']` دون أي تنقية، أو فحص للصلاحيات، أو التحقق من رمز عدم التكرار (Nonce). يتم دمج اسم الملف غير المنقى مع مسار دليل التخزين ثم تمريره إلى دالة `unlink()`. وهذا يتيح لهجومين مصرح لهم بالدخول، ويملكون وصولاً بمستوى "مشترك" (Subscriber) فأعلى، حذف ملفات تعسفية على الخادم باستخدام تسلسلات اختراق المسار مثل `../`، بما في ذلك ملف `wp-config.php` الذي سيجبر ووردبريس على الدخول إلى معالج التثبيت ويسمح بالسيطرة الكاملة على الموقع.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.