CVE-2026-1648 in Performance Monitor Plugin
Сводка
по VulDB • 10.05.2026
Плагин Performance Monitor для WordPress уязвим к Server-Side Request Forgery (SSRF) во всех версиях вплоть до 1.0.6 включительно. Это связано с недостаточной проверкой параметра 'url' в конечной точке REST API '/wp-json/performance-monitor/v1/curl_data'. Это позволяет неаутентифицированным злоумышленникам выполнять веб-запросы к произвольным адресам, включая внутренние сервисы, с использованием протокола Gopher и других опасных протоколов. Это может быть использовано для достижения Remote Code Execution (RCE) путем цепочки взаимодействий с сервисами, такими как Redis.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.