परफॉर्मेंस मॉनिटर <= 1.0.6 - 'url' पैरामीटर के माध्यम से बिना प्रमाणीकरण के सर्वर-साइड रिक्वेस्ट फोर्जरी
प्लेटफ़ॉर्म
wordpress
घटक
performance-monitor
में ठीक किया गया
1.0.7
1.0.7
The Performance Monitor plugin for WordPress contains a Server-Side Request Forgery (SSRF) vulnerability. This flaw allows unauthenticated attackers to initiate web requests to arbitrary locations, including internal services, by exploiting insufficient validation of the 'url' parameter in the '/wp-json/performance-monitor/v1/curl_data' REST API endpoint. Successful exploitation could lead to Remote Code Execution (RCE) by chaining with vulnerable services such as Redis. This vulnerability affects versions of the plugin up to and including 1.0.6.
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
प्रभाव और हमले की स्थितियाँअनुवाद हो रहा है…
An attacker can leverage this SSRF vulnerability to perform reconnaissance within the internal network. By crafting malicious requests through the vulnerable endpoint, they can probe internal services and identify potential targets for further exploitation. The use of protocols like Gopher expands the attack surface, allowing attackers to bypass certain security restrictions. The most concerning impact arises from the potential for chaining this SSRF vulnerability with other services, such as Redis, to achieve Remote Code Execution. If Redis is exposed and vulnerable, an attacker could potentially gain full control of the WordPress server.
शोषण संदर्भअनुवाद हो रहा है…
CVE-2026-1648 was publicly disclosed on 2026-03-20. While no public proof-of-concept (PoC) has been released, the SSRF nature of the vulnerability and the potential for chaining with services like Redis make it a high-priority concern. The vulnerability is not currently listed on the CISA KEV catalog. Given the ease of exploitation and potential impact, active exploitation is possible.
कौन जोखिम में हैअनुवाद हो रहा है…
WordPress sites utilizing the Performance Monitor plugin, particularly those with internal services like Redis exposed or accessible from the web, are at significant risk. Shared hosting environments where plugin updates are managed by the hosting provider may be delayed in receiving the fix, increasing their exposure window.
पहचान के चरणअनुवाद हो रहा है…
• wordpress / composer / npm:
grep -r 'wp-json/performance-monitor/v1/curl_data' /var/www/html/• generic web:
curl -I https://your-wordpress-site.com/wp-json/performance-monitor/v1/curl_data• wordpress / composer / npm:
wp plugin list | grep 'Performance Monitor'• wordpress / composer / npm:
wp plugin status | grep 'Performance Monitor'हमले की समयरेखा
- Disclosure
disclosure
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.05% (16% शतमक)
CISA SSVC
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- कोई नहीं — बिना प्रमाणीकरण के शोषण योग्य।
- User Interaction
- कोई नहीं — स्वचालित और मूक हमला। पीड़ित कुछ नहीं करता।
- Scope
- बदला हुआ — हमला कमज़ोर घटक से परे अन्य प्रणालियों तक फैल सकता है।
- Confidentiality
- निम्न — कुछ डेटा तक आंशिक पहुंच।
- Integrity
- निम्न — हमलावर सीमित दायरे में कुछ डेटा बदल सकता है।
- Availability
- कोई नहीं — उपलब्धता पर कोई प्रभाव नहीं।
प्रभावित सॉफ्टवेयर
पैकेज जानकारी
- सक्रिय इंस्टॉलेशन
- 70
- प्लगइन रेटिंग
- 3.0
- WordPress आवश्यक
- 4.0+
- संगत संस्करण तक
- 6.6.4
- PHP आवश्यक
- 7.4+
कमजोरी वर्गीकरण (CWE)
समयरेखा
- आरक्षित
- प्रकाशित
- संशोधित
- EPSS अद्यतन
शमन और वर्कअराउंडअनुवाद हो रहा है…
The primary mitigation is to upgrade the Performance Monitor plugin to a version that addresses this vulnerability. Unfortunately, a fixed version is not yet available. As a temporary workaround, restrict access to the '/wp-json/performance-monitor/v1/curl_data' endpoint using a web application firewall (WAF) or proxy server. Implement strict input validation on the 'url' parameter, ensuring that only allowed protocols and domains are permitted. Consider disabling the plugin entirely if immediate upgrade is not possible. Monitor WordPress logs for suspicious activity related to the plugin’s API endpoint.
कैसे ठीक करें
कोई ज्ञात पैच उपलब्ध नहीं है। कृपया इस भेद्यता के विवरण की गहराई से समीक्षा करें और अपने संगठन के जोखिम सहनशीलता के आधार पर शमन उपाय करें। प्रभावित सॉफ़्टवेयर को अनइंस्टॉल करना और प्रतिस्थापन खोजना सबसे अच्छा हो सकता है।
CVE सुरक्षा न्यूज़लेटर
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
अक्सर पूछे जाने वाले सवालअनुवाद हो रहा है…
What is CVE-2026-1648 — SSRF in Performance Monitor WordPress Plugin?
CVE-2026-1648 is a Server-Side Request Forgery vulnerability in the Performance Monitor WordPress plugin, allowing attackers to make arbitrary web requests.
Am I affected by CVE-2026-1648 in Performance Monitor WordPress Plugin?
You are affected if you are using the Performance Monitor plugin in versions 1.0.6 or earlier. Upgrade as soon as a patch is available.
How do I fix CVE-2026-1648 in Performance Monitor WordPress Plugin?
Upgrade the plugin to a patched version. Until a patch is released, use a WAF to restrict access to the vulnerable endpoint and validate input.
Is CVE-2026-1648 being actively exploited?
While no active exploitation has been confirmed, the vulnerability's nature and potential impact make it a likely target for attackers.
Where can I find the official Performance Monitor advisory for CVE-2026-1648?
Check the Performance Monitor plugin's official website or WordPress plugin repository for updates and advisories.
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।