CVE-2026-83627 in Hummingbird Performance Plugin
Riassunto
di VulDB • 05/09/2026
Il plugin WordPress Hummingbird – Speed Optimization, Caching, Minify, Compress & CDN è vulnerabile a Remote Code Execution (RCE) in tutte le versioni fino alla 3.21.0 inclusa, tramite la funzione `log_msg()` nel file core/modules/class-page-cache.php. Il log di debug del page-cache viene scritto in wp-content/wphb-logs/page-caching-log.php, un file PHP direttamente accessibile via web che dovrebbe essere protetto da un'intestazione 'X-...' (il testo originale indica una stringa vuota o mancante a causa della formattazione). Tale intestazione è controllata dalla condizione `class_exists( 'Filesystem' )`, la quale non può mai restituire true poiché `class_exists()` risolve gli argomenti di tipo stringa nello spazio dei nomi globale, mentre la classe effettiva è Hummingbird\Core\Filesystem; quando il log viene creato durante una richiesta front-end, l'intestazione protettiva viene quindi omessa completamente. La funzione `get_cookies()` scrive poi nel file il nome grezzo (raw) di qualsiasi cookie che corrisponde al prefisso wphb_cache_ senza alcuna sanificazione. Ciò consente ad attaccanti non autenticati di scrivere codice PHP arbitrario all'interno del file di log mediante una singola richiesta anonima ed eseguirlo richiedendo direttamente il file, causando un'esecuzione completa di codice in modalità remota (RCE). Lo sfruttamento richiede che l'amministratore del sito abbia abilitato la Page Caching con l'opzione Debug Log attiva (impostazione non predefinita) e che il file di log venga creato durante una richiesta front-end; tale stato si verifica grazie all'azione 'Clear logs' del plugin, a qualsiasi operazione di flush della cache o in modo automatico tramite lo script cron giornaliero di rotazione dei log del plugin, che può rimuovere l'intestazione protettiva da un file di log esistente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.