CVE-2024-9234

O plugin GutenKit – Blocos, padrões e modelos para o editor de blocos Gutenberg para o WordPress, nas versões até a 2.1.0, inclusive

O problema está relacionado à falta de uma verificação de permissão na função install and activate plugin from external(), que faz parte do endpoint da API REST para instalação e ativação de plugins. Isso permite que invasores não autenticados instalem e ativem plugins arbitrários ou enviem arquivos arbitrários disfarçados de plugins.

Para versões até a 2.1.0, inclusive, atualize para uma versão superior à 2.1.0 para resolver o problema.

Como solução temporária, considere desativar a função install and activate plugin from external() até que um patch esteja disponível.

Restrinja o acesso ao endpoint da API REST install-active-plugin para minimizar o risco de exploração.