Wordfence 发布安全公告，指出 WordPress Malcure 恶意软件扫描插件存在严重级别为 8.1 的安全漏洞。截至公告发布时，官方尚未推出修复补丁。
漏洞严重性评级
Malcure 插件高危漏洞详情
Malcure 恶意软件扫描器插件在超过 10,000 个 WordPress 站点上安装使用。该插件因 wpmr_delete_file 函数缺乏权限检查，导致已认证攻击者可执行任意文件删除操作。
虽然利用该漏洞需要用户认证，但仅需最低级别的“订阅者”角色即可触发。若站点开启用户注册功能，该角色通常为默认注册级别，因此实际被利用的风险依然较高。
Wordfence 指出：“拥有订阅者及以上权限的认证攻击者可删除任意文件，进而实现远程代码执行。此漏洞仅在站点启用高级模式时可被利用。”
目前暂无已知补丁，建议用户立即卸载该插件以降低安全风险。此外，该插件已在 WordPress 官方仓库下架，当前状态显示为“审核中”。
插件仓库下架状态
