वर्डप्रेस के लिए Perfmatters प्लगइन पथ पारगमन (path traversal) के माध्यम से मनमाना फ़ाइल ओवरराइट (arbitrary file overwrite) के लिए असुरक्षित है, सभी संस्करणों में 2.5.9 सहित। यह `PMCS::action_handler()` विधि द्वारा `activate`/`deactivate` हैंडलर के लिए बल्क एक्शन को किसी भी प्राधिकरण जांच (authorization check) या नॉनस सत्यापन (nonce verification) के बिना संसाधित करने के कारण है। `$_GET['snippets'][]` मानों को बिना सैनिटाइज (sanitize) किए `Snippet::activate()`/`Snippet::deactivate()` में पास किया जाता है, जो `Snippet::update()` को कॉल करते हैं, फिर पारगमित पथ (traversed path) के साथ `file_put_contents()` को कॉल करते हैं। यह प्रमाणित हमलावरों (authenticated attackers) को, सब्सक्राइबर-स्तर (Subscriber-level) पहुंच और उससे ऊपर के साथ, एक निश्चित PHP docblock सामग्री के साथ सर्वर पर मनमाना फ़ाइलों को ओवरराइट करने की अनुमति देता है, संभावित रूप से महत्वपूर्ण फ़ाइलों जैसे `.htaccess` या `index.php` को दूषित करके सेवा से इनकार (denial of service) का कारण बनता है।

यह भेद्यता एक प्रमाणित हमलावर को, सब्सक्राइबर स्तर के एक्सेस के साथ, Perfmatters प्लगइन के माध्यम से WordPress वेबसाइट पर फ़ाइलों को ओवरराइट करने की अनुमति देती है। हमलावर activate/deactivate हैंडलर में $_GET['snippets'][] मानों का उपयोग करके मनमाने ढंग से फ़ाइल पथों को नियंत्रित कर सकते हैं, जिससे महत्वपूर्ण कॉन्फ़िगरेशन फ़ाइलों या अन्य संवेदनशील डेटा को संशोधित किया जा सकता है। फ़ाइलों को ओवरराइट करने से वेबसाइट की कार्यक्षमता में व्यवधान, डेटा हानि या यहां तक ​​कि सिस्टम पर पूर्ण नियंत्रण भी हो सकता है। यह भेद्यता WordPress वेबसाइटों के लिए एक महत्वपूर्ण सुरक्षा जोखिम पैदा करती है, खासकर उन वेबसाइटों के लिए जिनमें संवेदनशील डेटा संग्रहीत है या जो महत्वपूर्ण कार्यों को करती हैं।

WordPress websites utilizing the Perfmatters plugin, particularly those with Subscriber-level users or higher, are at risk. Shared hosting environments where users have limited control over file permissions are especially vulnerable. Sites with outdated plugin versions or those lacking robust security practices are also at increased risk.

• wordpress / composer / npm:

grep -r "Snippet::update\(" /var/www/html/wp-content/plugins/perfmatters/

• generic web:

curl -I http://your-wordpress-site.com/wp-admin/admin-ajax.php?action=pmcs_action_handler&snippets%5B%5D=../../../../etc/passwd

• wordpress / composer / npm:

wp plugin list --status=all | grep perfmatters

1. 2026-04-10Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-04-10
3. संशोधित2026-04-13
4. EPSS अद्यतन2026-04-17

CVE-2026-4351 को कम करने के लिए, सबसे प्रभावी उपाय Perfmatters प्लगइन को संस्करण 2.6.0 में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो अस्थायी शमन रणनीतियों में फ़ाइल एक्सेस को सीमित करना शामिल हो सकता है। यह Snippet::activate() और Snippet::deactivate() फ़ंक्शंस में इनपुट सत्यापन जोड़कर किया जा सकता है ताकि यह सुनिश्चित किया जा सके कि पथ वैध हैं और अनधिकृत फ़ाइलों तक पहुंचने की अनुमति नहीं देते हैं। इसके अतिरिक्त, WordPress फ़ायरवॉल (WAF) या रिवर्स प्रॉक्सी का उपयोग करके फ़ाइल ओवरराइट प्रयासों को ब्लॉक किया जा सकता है। प्लगइन को अपडेट करने के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, फ़ाइल एक्सेस लॉग की जांच करके और यह सुनिश्चित करके कि कोई अनधिकृत फ़ाइल परिवर्तन नहीं हुआ है।