それはですね、攻撃者が「ファイルアップロード」を意図したはずのプラグインを悪用し、セッション管理の隙間を突いて任意のファイルを削除できるからです。でも、まずは「File Upload to Order」プラグインを導入しているか確認するべきでしょう。それと、セッションデータの処理ロジックがどこにあるかを点検する必要があります。

ファイル削除処理のコードがどこにあるか、アクセス権がどのユーザーに与えられているかをチェックしてください。また、不要な公開設定や、セッションIDが不適切に共有されていないかを確認する必要があります。たとえば、wp-config.phpにセッションハンドラの設定が変更されていないか、ですね。

プラグインのバージョンを1.1.4以上にアップグレードする必要があります。ただし、変更管理の手順に従ってテスト環境で動作確認をした上で本番に適用しましょう。また、NVDのリンクを確認して、ベンダーの公式情報に従うのが安全です。

ログに「ファイル削除」のリクエストが記録されているかを監視し、異常なアクセスを検出する仕組みを整えるべきです。たとえば、/var/log/apache2/access.logやWordPressのエラーログを定期的に確認するようにしてください。

「セッションデータは信頼できない」という前提で設計するべきです。でも、それと同時に「プラグインのバージョンをチェックする習慣」を身につけることが、運用者にとっての第一歩でしょう。というわけで、まずはwp-content/pluginsのディレクトリに目を向けてください。