Исходное сообщение
"В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." Отправлено KonstantinB, 10-Июл-18 00:21
unlink(filename) можно сделать в любом языке. Тут скорее легаси другого рода - привычка php-разработчиков со времен дешевых shared-ов мешать в одну кучу код приложения и пользовательские upload-ы. В случае же WP - даже если и разнесешь по разным uid, пользователи этого самого WP первыми разноются, что у них обновление кода кнопочкой из админки не работает.