CVE-2026-4350

总结

WordPress 的 Perfmatters 插件在所有版本（包括 2.5.9.1）中均存在路径遍历漏洞，可导致任意文件删除。这是由于 `PMCS::action_handler()` 方法在处理 `$_GET['delete']` 参数时，未进行任何清理、授权检查或 nonce 验证。未经清理的文件名与存储目录路径拼接后传递给 `unlink()`。这使得经过身份验证的攻击者（具有订阅者级别及以上访问权限）能够通过使用 `../` 路径遍历序列删除服务器上的任意文件，包括 `wp-config.php`，这将迫使 WordPress 进入安装向导，从而实现完全接管网站。

• CVE-2026-4350漏洞利用

  # Perfmatters WordPress 插件任意文件删除漏洞（CVE-2026-4350）的利用与概念验证 包含 Python 利用脚本和 bash POC 脚本，用于测试存在漏洞的版本。