WordPress的WP Customer Area插件存在任意文件读取和删除漏洞，由于在'ajax_attach_file'函数中文件路径验证不足，所有版本（包括8.3.4版本）都受到影响。这使得具有管理员授予访问权限的角色（例如，订阅者）的经过身份验证的攻击者能够读取服务器上任意文件的内容，其中可能包含敏感信息，或者删除服务器上的任意文件，这很容易导致远程代码执行。

该漏洞的影响非常严重，攻击者可以利用它来读取服务器上的敏感信息，例如数据库凭据、API 密钥或配置文件。更糟糕的是，攻击者还可以删除任意文件，这可能导致服务中断或远程代码执行。例如，如果攻击者删除了 wp-config.php 文件，WordPress 站点将无法正常运行，并且攻击者可能能够利用其他漏洞来执行恶意代码。这种攻击模式类似于其他 WordPress 插件漏洞的利用方式，需要高度重视。

1. 已保留2026-03-03
2. 发布日期2026-04-17
3. 修改日期2026-04-22
4. EPSS 更新日期2026-04-25

最有效的缓解措施是立即将 WP Customer Area 插件升级到 8.3.5 或更高版本。如果由于兼容性问题无法立即升级，可以考虑以下临时缓解措施：限制用户角色对插件功能的访问权限，只授予必要的权限；实施严格的文件访问控制，限制插件对敏感文件的访问；使用 Web 应用防火墙 (WAF) 来检测和阻止恶意请求。此外，定期备份 WordPress 站点，以便在发生安全事件时能够快速恢复。升级后，请确认插件已成功更新，并检查服务器日志中是否有异常活动。