2018年6月28日，国外安全研究组织rips团队发布了一篇WordPress任意文件删除到代码执行的漏洞文章，文章中指出攻击者可以利用此漏洞删除任意文件，比如删除WordPress建站配置文件wp-config.php，通过删除此文件可导致界面进入网站安装页面，通过重装网站后进入管理员后台即可获取网站shell从而控制WordPress网站，故该漏洞的危害很大。唯一缺陷就是需要攻击者拥有操作多媒体文件的功能，一般作者权限就可以触发漏洞。
RPO（Relative Path Overwrite）相对路径覆盖，是一种新型攻击技术，主要是利用浏览器的一些特性和部分服务端的配置差异导致的漏洞，通过一些技巧，我们可以通过相对路径来引入其他的资源文件，以至于达成我们想要的目的。
2018年01月09日，Dedecms官方更新了DedeCMS V5.7 SP2正式版，后续在10日有网友爆出其存在任意用户密码重置漏洞。
攻击难度：低。
危害程度：高。
官方修复情况如下：
目前暂未发布升级补丁
WordPress相信大家都不陌生，之所以WordPress如此广泛的使用，它的插件机制功不可没，开发简单，松耦合性强，在WordPress运行过程中随时随地可被调用插件中的功能。本文通过UsrPro插件后门漏洞的分析来简单介绍WordPress的插件调用机制。
2017年10月24日，Typecho被爆出install.php文件存在后门可以直接执行任意代码导致使用此系统的网站直接被getshell。
在CVE-2016-10033中，PHPMailer的RCE火了一把，最近这个RCE又被老外放到wordpress中利用了一波，然后国内也跟着炒了一波，其实背后的锅都得PHP自带的内联函数mail()来背。
Phpcms官方最近陆陆续续发了好几个补丁，目前最新的是9.6.3，在9.6.2的时候官方修复了一个由于随机数生成的问题导致的authkey泄露的漏洞，导致攻击者拿到系统authkey之后进一步利用其它问题对系统进行攻击。
在CVE-2016-10033中，PHPMailer的RCE火了一把，最近这个RCE又被老外放到wordpress中利用了一波，然后国内也跟着炒了一波，其实背后的锅都得PHP自带的内联函数mail()来背。
WordPress是一个注重美学、易用性和网络标准的个人信息发布平台。使用WordPress可以搭建功能强大的网络信息发布平台，但更多的是应用于个性化的博客。根据w3techs.com对WordPress网站的实时市场份额统计，WordPress占所有使用内容管理系统的网站的58.9％。大约占所有网站的27.9％左右。