关键漏洞信息 1. 缺少Nonce验证 在 文件中，删除PDF的AJAX请求没有包含 参数。 这可能导致跨站请求伪造（CSRF）攻击，因为缺少对请求的验证。 2. 不安全的文件删除操作 在 文件中，删除PDF文件的操作没有进行充分的安全检查。 这可能导致任意文件删除漏洞，攻击者可能利用此漏洞删除服务器上的任意文件。 3. 权限检查不足 删除PDF文件的操作仅检查了用户是否登录，但没有进一步验证用户是否有权限执行该操作。 这可能导致权限提升漏洞，普通用户可能能够执行需要管理员权限的操作。 4. 路径遍历风险 在处理文件路径时，没有对 变量进行严格的路径检查和规范化。 这可能导致路径遍历漏洞，攻击者可能通过构造特殊的文件路径来访问或删除任意文件。 总结 该插件存在多个安全漏洞，包括CSRF、任意文件删除、权限检查不足和路径遍历风险。建议开发者尽快修复这些问题，以防止潜在的安全威胁。