El plugin Perfmatters para WordPress es vulnerable a la sobrescritura arbitraria de archivos a través de recorrido de ruta en todas las versiones hasta la 2.5.9, inclusive. Esto se debe a que el método `PMCS::action_handler()` procesa los manejadores de acción masiva `activate`/`deactivate` sin ninguna verificación de autorización o nonce. Los valores `$_GET['snippets'][]` se pasan sin sanitizar a `Snippet::activate()`/`Snippet::deactivate()` que llaman a `Snippet::update()` y luego a `file_put_contents()` con la ruta recorrida. Esto

Un atacante que explote esta vulnerabilidad puede sobrescribir archivos críticos del sistema, incluyendo archivos de configuración, archivos del núcleo de WordPress o incluso archivos del servidor web. Esto podría resultar en la toma de control completa del servidor, la ejecución de código malicioso, el robo de datos sensibles o la denegación de servicio. La capacidad de sobrescribir archivos arbitrarios representa un riesgo significativo para la integridad y confidencialidad de los datos almacenados en el servidor WordPress. La falta de validación en el manejo de las acciones 'activate' y 'deactivate' permite la manipulación de las rutas de archivo, facilitando la explotación.

WordPress websites utilizing the Perfmatters plugin, particularly those with Subscriber-level users or higher, are at risk. Shared hosting environments where users have limited control over file permissions are especially vulnerable. Sites with outdated plugin versions or those lacking robust security practices are also at increased risk.

• wordpress / composer / npm:

grep -r "Snippet::update\(" /var/www/html/wp-content/plugins/perfmatters/

• generic web:

curl -I http://your-wordpress-site.com/wp-admin/admin-ajax.php?action=pmcs_action_handler&snippets%5B%5D=../../../../etc/passwd

• wordpress / composer / npm:

wp plugin list --status=all | grep perfmatters

1. 2026-04-10Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-04-10
3. Modificada2026-04-13
4. EPSS actualizado2026-04-17

La mitigación principal para CVE-2026-4351 es actualizar el plugin Perfmatters a la versión 2.6.0 o superior. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a los archivos del plugin y monitorear los logs del servidor en busca de actividad sospechosa. Implementar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que contengan caracteres de recorrido de directorio (../) en los parámetros GET relacionados con las acciones del plugin puede ofrecer una capa adicional de protección. Verifique que el plugin no tenga permisos de escritura innecesarios en directorios sensibles.