De Perfmatters plugin voor WordPress is kwetsbaar voor willekeurig bestandsoverzicht via path traversal in alle versies tot en met 2.5.9. Dit komt doordat de `PMCS::action_handler()` methode de bulk actie `activate`/`deactivate` handlers verwerkt zonder enige autorisatie controle of nonce verificatie. De `$_GET['snippets'][]` waarden worden ongezuiverd doorgegeven aan `Snippet::activate()`/`Snippet::deactivate()` die `Snippet::update()` aanroepen en vervolgens `file_put_contents()` met het getraverseerde pad. Dit

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot ongeautoriseerde bestandsmanipulatie op de WordPress server. Aanvallers met Subscriber-niveau toegang of hoger kunnen willekeurige bestanden overschrijven, wat kan resulteren in het compromitteren van de website, het uitvoeren van schadelijke code of het verkrijgen van gevoelige informatie. De impact kan variëren afhankelijk van de rechten van de gebruiker en de locatie van de overschreven bestanden. Dit kan leiden tot een volledige website-overname.

WordPress websites utilizing the Perfmatters plugin, particularly those with Subscriber-level users or higher, are at risk. Shared hosting environments where users have limited control over file permissions are especially vulnerable. Sites with outdated plugin versions or those lacking robust security practices are also at increased risk.

• wordpress / composer / npm:

grep -r "Snippet::update\(" /var/www/html/wp-content/plugins/perfmatters/

• generic web:

curl -I http://your-wordpress-site.com/wp-admin/admin-ajax.php?action=pmcs_action_handler&snippets%5B%5D=../../../../etc/passwd

• wordpress / composer / npm:

wp plugin list --status=all | grep perfmatters

1. 2026-04-10Disclosure

   disclosure

1. Gereserveerd2026-03-17
2. Gepubliceerd2026-04-10
3. Gewijzigd2026-04-13
4. EPSS bijgewerkt2026-04-17

De primaire mitigatie voor CVE-2026-4351 is het updaten van de Perfmatters plugin naar versie 2.6.0 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de rechten van gebruikers tot het absolute minimum. Controleer de WordPress server logs op verdachte activiteit, met name pogingen tot bestandstoegang of -wijziging via ongebruikelijke paden. Implementeer een Web Application Firewall (WAF) met regels die pogingen tot path traversal detecteren en blokkeren. Na de upgrade, controleer de plugin configuratie en bestandsrechten om te bevestigen dat de kwetsbaarheid is verholpen.