The Perfmatters plugin for WordPress is vulnerable to arbitrary file deletion via path traversal in all versions up to, and including, 2.5.9.1. This is due to the `PMCS::action_handler()` method processing the `$_GET['delete']` parameter without any sanitization, authorization check, or nonce verification. The unsanitized filename is concatenated with the storage directory path and passed to `unlink()`. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the server by using `../` path traversal sequences, including `wp-config.php` which would force WordPress into the installation wizard and allow full site takeover.
References
Configurations
No configuration.
History
06 Oct 2026, 22:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) El plugin Perfmatters para WordPress es vulnerable a la eliminación arbitraria de archivos a través de salto de ruta en todas las versiones hasta la 2.5.9.1, inclusive. Esto se debe a que el método 'PMCS::action_handler()' procesa el parámetro '$_GET['delete']' sin ninguna sanitización, verificación de autorización o verificación de nonce. El nombre de archivo no sanitizado se concatena con la ruta del directorio de almacenamiento y se pasa a 'unlink()'. Esto hace posible que atacantes autenticados, con acceso de nivel Suscriptor y superior, eliminen archivos arbitrarios en el servidor utilizando secuencias de salto de ruta ' rutas relativas ../ ', incluyendo 'wp-config.php', lo que forzaría a WordPress al asistente de instalación y permitiría una toma de control completa del sitio. |
Information
Published : 2026-04-03 08:16
Updated : 2026-10-06 22:10
NVD link : CVE-2026-4350
Mitre link : CVE-2026-4350
CVE.ORG link : CVE-2026-4350
JSON object : View
Products Affected
No product.
CWE
CWE-22
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')