最新版wordpress任意文件删除漏洞复现

点击t00ls关注，每天叫醒你的不是闹钟，而是姿势

这是我下载的最新版wordpress(4.9.6)

登陆后台：

上传张图片：

执行：

现在点击Delete Permanently即可。

配置文件成功删除。

漏洞原理作者博客上有细节，本意是删除缩略图。但是没有对路径做限制，导致可以任意文件删除。

作者给的修复代码

鸡肋之处在于需要管理员权限，但是危害蛮大的。