CVE-2026-83627 in Hummingbird Performance Plugin
Zusammenfassung
von VulDB • 05.09.2026
Das WordPress-Plugin Hummingbird – Speed Optimization, Caching, Minify, Compress & CDN ist in allen Versionen bis einschließlich 3.21.0 anfällig für Remote Code Execution (RCE) über die Funktion `log_msg()` im Modul `core/modules/class-page-cache.php`. Das Debug-Protokoll des Page-Caches wird in der direkt webzugänglichen PHP-Datei `wp-content/wphb-logs/page-caching-log.php` gespeichert, die eigentlich durch einen führenden Header `'<?php die(); ?>'` geschützt sein soll. Dieser Header ist jedoch von `class_exists( 'Filesystem' )` abhängig, was niemals zutreffen kann, da `class_exists()` String-Arumente im globalen Namespace auflöst, während der Klasse tatsächlich `Hummingbird\Core\Filesystem` heißt; wenn das Protokoll während einer Frontend-Anfrage erstellt wird, entfällt dieser Header daher vollständig. Anschließend schreibt `get_cookies()` den rohen Namen jedes Cookies, dessen Name mit dem Präfix `wphb_cache_` beginnt, ohne Sanitization in diese Datei. Dies ermöglicht es nicht authentifizierten Angreifern, willkürlichen PHP-Code durch eine einzelne anonyme Anfrage in die Protokolldatei zu schreiben und ihn auszuführen, indem sie die Datei direkt anfordern, was zu vollständiger Remote Code Execution führt. Die Ausnutzung erfordert, dass der Website-Administrator das Page Caching mit der Option Debug Log (nicht standardmäßig aktiviert) aktiviert hat und die Protokolldatei während einer Frontend-Anfrage erstellt wurde – ein Zustand, der durch die eigene Aktion „Logs löschen“ des Plugins, jedes Cache-Flush oder unbeaufsichtigt über den täglichen Cron-Job zur Protokolldrehung des Plugins erreicht wird, wodurch der schützende Header aus einer vorhandenen Protokolldatei entfernt werden kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.