wpForo Forum <= 2.4.16 - 认证 (订阅者+) 通过帖子内容进行任意文件删除

该漏洞的影响非常严重，攻击者可以利用它删除服务器上的关键文件，导致服务中断、数据丢失甚至系统崩溃。由于该漏洞需要认证访问权限（订阅者级别及以上），攻击者通常需要先获取对wpForo Forum的访问权限。然而，一旦获得访问权限，攻击者就可以轻松地删除任何他们有权访问的文件，包括配置文件、数据库文件，甚至操作系统文件。这种攻击模式类似于其他路径遍历漏洞，可能导致严重的系统安全问题。

1. 已保留2026-03-06
2. 发布日期2026-04-04
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-11

最有效的缓解措施是立即将wpForo Forum插件升级至2.4.17版本或更高版本。如果升级会导致兼容性问题或中断，可以考虑临时回滚到之前的稳定版本，但请注意这只是一个临时解决方案。此外，可以实施Web应用防火墙（WAF）规则，以阻止包含路径遍历序列的请求。还可以审查wpForo Forum的配置，确保文件权限设置正确，并限制用户对敏感文件的访问权限。监控wpForo Forum的日志文件，查找可疑活动，例如尝试访问或删除不存在的文件。