Le plugin Perfmatters pour WordPress est vulnérable à une écriture de fichier arbitraire via un parcours de chemin dans toutes les versions jusqu'à et incluant la version 2.5.9. Ceci est dû à la méthode `PMCS::action_handler()` qui traite les gestionnaires d'actions groupées `activate`/`deactivate` sans aucune vérification d'autorisation ou de nonce. Les valeurs `$_GET['snippets'][]` sont transmises non filtrées à `Snippet::activate()`/`Snippet::deactivate()` qui appellent `Snippet::update()` puis `file_put_contents()` avec le chemin parcouru. Thi

Un attaquant ayant un accès de niveau Subscriber ou supérieur peut exploiter cette vulnérabilité pour surécrire des fichiers critiques sur le serveur WordPress. Cela peut conduire à la prise de contrôle complète du site web, à l'exécution de code arbitraire, à la modification de données sensibles ou à la suppression de fichiers. La capacité de surécrire des fichiers permet à l'attaquant d'injecter du code malveillant, de compromettre d'autres plugins ou thèmes, ou de modifier la configuration du serveur. Cette vulnérabilité est particulièrement préoccupante car elle ne nécessite qu'un accès limité au site WordPress.

WordPress websites utilizing the Perfmatters plugin, particularly those with Subscriber-level users or higher, are at risk. Shared hosting environments where users have limited control over file permissions are especially vulnerable. Sites with outdated plugin versions or those lacking robust security practices are also at increased risk.

• wordpress / composer / npm:

grep -r "Snippet::update\(" /var/www/html/wp-content/plugins/perfmatters/

• generic web:

curl -I http://your-wordpress-site.com/wp-admin/admin-ajax.php?action=pmcs_action_handler&snippets%5B%5D=../../../../etc/passwd

• wordpress / composer / npm:

wp plugin list --status=all | grep perfmatters

1. 2026-04-10Disclosure

   disclosure

1. Réservé2026-03-17
2. Publiée2026-04-10
3. Modifiée2026-04-13
4. EPSS mis à jour2026-04-17

La mitigation principale consiste à mettre à jour le plugin Perfmatters vers la version 2.6.0 ou supérieure. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre les permissions des utilisateurs ayant un accès de niveau Subscriber ou supérieur. En attendant la mise à jour, il est possible de mettre en place des règles WAF (Web Application Firewall) pour bloquer les requêtes contenant des caractères de traversal de chemin (par exemple, ../). Surveillez également les journaux d'accès et d'erreurs du serveur pour détecter des tentatives d'accès non autorisées aux fichiers.