CVE-2026-4351 in Perfmatters Plugin
الملخص
بحسب VulDB • 08/05/2026
يحتوي إضافة Perfmatters لـ WordPress على ثغرة تسمح بكتابة ملفات عشوائية (arbitrary file overwrite) عبر اختراق المسار (path traversal) في جميع الإصدارات حتى 2.5.9 وشاملة لها. ويعود ذلك إلى معالجة الطريقة `PMCS::action_handler()` لمعالجات الإجراءات الجماعية `activate`/`deactivate` دون أي تحقق من التفويض أو التحقق من صحة الـ nonce. يتم تمرير قيم `$_GET['snippets'][]` غير المُطهّرة (unsanitized) إلى `Snippet::activate()`/`Snippet::deactivate()`، والتي تستدعي بدورها `Snippet::update()` ثم `file_put_contents()` باستخدام المسار المُخترق. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "Subscriber" أو أعلى، الكتابة فوق ملفات عشوائية على الخادم بمحتوى ثابت لـ PHP docblock، مما قد يتسبب في حجب الخدمة (denial of service) عن طريق إتلاف ملفات حرجة مثل `.htaccess` أو `index.php`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.