O plugin Pods – Custom Content Types and Fields para WordPress contém uma falha de escalonamento de privilégios que permite que atacantes não autenticados obtenham privilégios de Administrador ou sobrescrevam a senha de qualquer conta de usuário, incluindo a do proprietário do site, resultando no controle total do site. O problema reside no roteador AJAX `pods admin`, que processa verificações de segurança — como listas de permissões de métodos, verificação de nonce, imposição de login e controle de capacidades — através da função `pods error()`. Sob o caminho de compatibilidade JSON `meta-box-loader`, a função `pods error()` apenas registra as falhas no log de erros do PHP e retorna falso sem encerrar a requisição, permitindo que a execução continue para métodos de API privilegiados, como `save user()`. Mais de 100.000 instalações ativas estão potencialmente afetadas, e incidentes reais foram relatados onde atacantes adicionaram usuários administradores não autorizados em sites.