CVE-2026-4350：Perfmatters任意文件访问漏洞 (CVSS 8.1)

WordPress的Perfmatters插件存在路径遍历漏洞，可能导致任意文件删除。此漏洞影响所有版本，包括2.5.9.1及更早版本。问题出在PMCS::actionhandler()方法中，它在没有适当的验证、授权检查或nonce验证的情况下处理$GET['delete']参数。未经过滤的文件名与存储目录路径连接，然后传递给unlink()函数。这使得具有订阅者级别或更高权限的经过身份验证的攻击者能够删除服务器上的任意文件，从而可能损害网站完整性并允许执行恶意代码。此漏洞的CVSS评分是8.1，表明高风险级别。

1. 已保留2026-03-17
2. 发布日期2026-04-03
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-10

解决此漏洞的方法是将Perfmatters插件更新到2.6.0或更高版本。此版本包含必要的修复程序，以在文件操作中使用之前验证和过滤用户输入。此外，建议审查WordPress用户权限，并限制对不需要文件删除功能的角色的访问。为敏感操作实施nonce验证系统可以帮助防止可能利用此漏洞的跨站请求伪造（CSRF）攻击。定期对网站进行安全审计是识别和修复潜在漏洞的推荐做法。