← Back
CVE-2026-4350
high
CVSS 8.1
The Perfmatters plugin for WordPress is vulnerable to arbitrary file deletion via path traversal in all versions up to, and including, 2.5.9.1. This is due to the `PMCS::action_handler()` method proce...
Summary
The Perfmatters plugin for WordPress is vulnerable to arbitrary file deletion via path traversal in all versions up to, and including, 2.5.9.1. This is due to the `PMCS::action_handler()` method processing the `$_GET['delete']` parameter without any sanitization, authorization check, or nonce verifi...
AI summary openai / gpt-4o
WordPressのPerfmattersプラグインにおいて、パストラバーサル攻撃を通じて任意のファイルを削除できる脆弱性が存在します。この問題は、バージョン2.5.9.1までのすべてのバージョンで発生します。特に、`PMCS::action_handler()`メソッドが`$_GET['delete']`パラメータを適切にサニタイズせずに処理するため、許可された攻撃者がこの脆弱性を悪用できます。
❓ What is the problem
WordPressのPerfmattersプラグインにおける任意ファイル削除の脆弱性。
📍 Affected scope
バージョン2.5.9.1までのPerfmattersプラグイン。
🔥 Severity
任意のファイルを削除できるため、サイトの完全な乗っ取りが可能になる高リスク脆弱性。
🔧 How to fix
プラグインを問題が修正された新しいバージョンにアップデートする。
🛡️ Workaround
パッチが適用されるまで、信頼できるユーザーのみにアクセスを制限する。
🔍 Detection
脆弱性の影響を受けるバージョンがインストールされているか確認する。