Resumo: O plugin VikAppointments Services Booking Calendar, em todas as versões até a 1.2.21, valida mal o caminho de arquivos na função extract, permitindo que atacantes não autenticados apaguem qualquer arquivo do servidor (CVSS 9.1). Apagar o wp-config.php, por exemplo, coloca o site em modo de instalação e pode levar à execução remota de código. A exploração depende de haver ao menos um campo personalizado do tipo “Arquivo” publicado na página de confirmação, o que não vem ativado por padrão.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o VikAppointments para uma versão posterior à 1.2.21. Se não puder atualizar já, despublique os campos personalizados do tipo “Arquivo” no formulário de confirmação ou desative o plugin. Confirme que o wp-config.php e outros arquivos essenciais estão no lugar e mantenha backups recentes fora do servidor.