CVE-2026-1648 in Performance Monitor Plugin
Résumé
par VulDB • 26/06/2026
Le plugin Performance Monitor pour WordPress est vulnérable à une attaque de Server-Side Request Forgery (SSRF) dans toutes les versions jusqu'à la 1.0.6 incluse. Cela est dû à une validation insuffisante du paramètre 'url' dans le point d'accès REST API '/wp-json/performance-monitor/v1/curl_data'. Cette faille permet aux attaquants non authentifiés d'effectuer des requêtes web vers n'importe quelle destination, y compris les services internes, via le protocole Gopher et d'autres protocoles dangereux. Cela peut être exploité pour obtenir une exécution de code à distance (RCE) en chaînant l'exploitation avec des services tels que Redis.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.