O plugin está sujeito à exclusão arbitrária de arquivos. Isso ocorre porque o método `Members::update()` não valida ou restringe valores para campos de perfil personalizados do tipo arquivo, permitindo que usuários autenticados armazenem caminhos arbitrários. Além disso, a função de sanitização `wpforo fix upload dir()` dentro de `ucf file delete()` apenas remapeia caminhos que correspondem a um padrão específico antes de serem passados para a função `unlink()`. Atacantes autenticados com nível de acesso de assinante ou superior podem explorar isso para excluir arquivos arbitrários no servidor, o que pode levar à execução remota de código se arquivos críticos como 'wp-config.php' forem removidos. Este problema requer que o plugin addon wpForo - User Custom Fields esteja ativo.