WordPress contiene una vulnerabilidad que podría permitir a un atacante la eliminación de toda la instalación de WordPress y archivos del servidor.
WordPress 4.9.6, y anteriores, son vulnerables. El atacante que explote la vulnerabilidad podría escalar privilegios desde una cuenta con un rol bajo como Author, o mediante la explotación de otra vulnerabilidad/configuración incorrecta.
El atacante podría eliminar cualquier archivo de la instalación de WordPress así como otros archivos del servidor en el que el usuario del proceso de PHP tenga permisos para eliminar. Podría borrar toda la instalación de WordPress.
El atacante podría utilizar la capacidad de eliminación arbitraria de archivos para eludir algunas medidas de seguridad y ejecutar código arbitrario en el servidor web.
La vulnerabilidad fue reportada hace 7 meses a WordPress por los investigadores de seguridad de RIPS Technologies, quienes la han hecho pública por la falta de parche o de planes concretos para su corrección, e inclusive facilitan una solución temporal para los sitios web que usan el popular sistema de gestión de contenidos.
Aún no se sabe cuándo estará disponible el parche oficial de WordPress pero se prevé que ocurra a la brevedad.
Es recomendable mantener la práctica de respaldar totalmente el sitio web implementado con WordPress.