Плагин Custom Block Builder WordPress до 3.0.0 должным образом не отклоняет несанкционированные запросы к своим маршрутам REST, так как его проверки разрешений возвращают неошибочный ответ, который WordPress рассматривает как предоставленный, позволяя неаутентифицированным пользователям выполнять произвольный код PHP на сервере.
Показать оригинальное описание (EN)
The Custom Block Builder WordPress plugin before 3.0.0 does not properly deny unauthorised requests to its REST routes, as its permission checks return a non-error response that WordPress treats as granted, allowing unauthenticated users to execute arbitrary PHP code on the server.