CVE-2026-32567icopydoc开发的YML for Yandex Market WordPress插件存在路径遍历漏洞。该漏洞由于对目标目录路径名限制不严，导致拥有高权限的认证攻击者能够利用路径遍历序列（如../）访问受限目录之外的文件系统资源。此问题影响5.3.0之前的所有版本，攻击者可利用此漏洞删除任意文件，对网站可用性造成严重影响。
该漏洞的根源在于icopydoc YML for Yandex Market插件对文件路径的校验逻辑存在缺陷。当插件处理文件管理相关的功能时（如导出或删除文件），未对用户提供的“file”参数进行充分的规范化处理或未使用`basename()`等函数进行过滤。攻击者必须拥有高权限账户（PR:H），这通常意味着攻击者已经攻破了管理员账户或拥有编辑权限。利用该漏洞时，攻击者通过在请求参数中插入“../”或“..%5c”等目录跳转符，绕过原本预设的插件目录限制，进而访问服务器文件系统的任意路径。结合参考信息中提到的“任意文件删除”，攻击者可以指定删除`wp-config.php`、`index.php`等关键系统文件，导致网站服务完全中断（A:H），造成严重的拒绝服务攻击后果。