Resumo: O plugin User Private Files, em versões anteriores à 2.2.0, não protege corretamente os arquivos privados em instalações WordPress multisite: a regra de reescrita que deveria encaminhar os downloads pela verificação de acesso nunca é alcançada. Assim, visitantes sem login conseguem baixar diretamente arquivos privados de outros usuários. Sites que usam o plugin para compartilhar documentos com clientes em rede multisite estão expostos a vazamento de dados.
Fonte: TheHackerWire / WPScan
O que fazer: Atualize o User Private Files para a versão 2.2.0 ou superior. Em redes multisite, teste se os arquivos privados retornam erro ao serem acessados sem login e, se necessário, bloqueie o acesso direto à pasta de uploads do plugin via .htaccess ou regra do Nginx. Avalie se documentos sensíveis podem ter sido acessados e revise os logs do servidor.