Path Traversal in Perfmatters (WordPress plugin) (CVE-2026-4350)
Summary
Path traversal in Perfmatters (WordPress plugin) (CVE-2026-4350). Data can be tampered with by attackers.
Original description
The description as published by the source.
The Perfmatters plugin for WordPress is vulnerable to arbitrary file deletion via path traversal in all versions up to, and including, 2.5.9.1. This is due to the PMCS::action_handler() method processing the $_GET['delete'] parameter without any sanitization, authorization check, or nonce verification. The unsanitized filename is concatenated with the storage directory path and passed to unlink(). This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the server by using ../ path traversal sequences, including wp-config.php which would force WordPress into the installation wizard and allow full site takeover.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WordPressのPerfmattersプラグインにおいて、パストラバーサル攻撃を通じて任意のファイルを削除できる脆弱性が存在します。この問題は、バージョン2.5.9.1までのすべてのバージョンで発生します。特に、PMCS::action_handler()メソッドが$_GET['delete']パラメータを適切にサニタイズせずに処理するため、許可された攻撃者がこの脆弱性を悪用できます。
WordPressのPerfmattersプラグインにおける任意ファイル削除の脆弱性。
バージョン2.5.9.1までのPerfmattersプラグイン。
任意のファイルを削除できるため、サイトの完全な乗っ取りが可能になる高リスク脆弱性。
プラグインを問題が修正された新しいバージョンにアップデートする。
パッチが適用されるまで、信頼できるユーザーのみにアクセスを制限する。
脆弱性の影響を受けるバージョンがインストールされているか確認する。