O plugin Perfmatters para WordPress é vulnerável à sobrescrita arbitrária de arquivos via path traversal em todas as versões até, e incluindo, 2.5.9. Isso ocorre devido ao método `PMCS::action_handler()` processando os manipuladores de ação em massa `activate`/`deactivate` sem nenhuma verificação de autorização ou nonce. Os valores `$_GET['snippets'][]` são passados não sanitizados para `Snippet::activate()`/`Snippet::deactivate()` que chamam `Snippet::update()` então `file_put_contents()` com o caminho percorrido. Isso

Um atacante explorando com sucesso essa vulnerabilidade pode obter controle sobre o servidor WordPress. Ao sobrescrever arquivos críticos, como o arquivo wp-config.php, o atacante pode obter acesso às credenciais do banco de dados, permitindo o acesso completo ao site e seus dados. A sobreescrita de outros arquivos pode levar à execução remota de código ou à negação de serviço. A facilidade de exploração, combinada com a ampla utilização do plugin Perfmatters, torna essa vulnerabilidade particularmente preocupante.

WordPress websites utilizing the Perfmatters plugin, particularly those with Subscriber-level users or higher, are at risk. Shared hosting environments where users have limited control over file permissions are especially vulnerable. Sites with outdated plugin versions or those lacking robust security practices are also at increased risk.

• wordpress / composer / npm:

grep -r "Snippet::update\(" /var/www/html/wp-content/plugins/perfmatters/

• generic web:

curl -I http://your-wordpress-site.com/wp-admin/admin-ajax.php?action=pmcs_action_handler&snippets%5B%5D=../../../../etc/passwd

• wordpress / composer / npm:

wp plugin list --status=all | grep perfmatters

1. 2026-04-10Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-04-10
3. Modificada2026-04-13
4. EPSS atualizado2026-04-17

A mitigação primária para CVE-2026-4351 é atualizar o plugin Perfmatters para a versão 2.6.0 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desativar temporariamente o plugin Perfmatters. Como medida adicional, implemente regras de firewall (WAF) para bloquear solicitações que contenham caracteres suspeitos nos parâmetros de URL relacionados às ações de ativação/desativação de snippets. Monitore os logs do servidor em busca de tentativas de acesso a arquivos fora do diretório esperado.