CVE-2018-12895

WordPress hasta la versión 4.9.6 permite que los usuarios Author ejecuten código arbitrario aprovechándose de un salto de directorio en el parámetro thumb en wp-admin/post.php que se pasa a la función unlink en PHP y puede borrar el archivo wp-config.php. Esto está relacionado con la ausencia de validación de nombres de archivo en la función wp_delete_attachment en wp-includes/post.php. El atacante debe tener capacidades para archivos y publicaciones que normalmente están disponibles solo para los roles Author, Editor y Administrator. La metodología de ataque es borrar wp-config.php y luego ejecutar un proceso de instalación nuevo para incrementar los privilegios del atacante.

WordPress versions 4.9.6 and below suffer from an arbitrary file deletion vulnerability.