それは、システムが信頼できる入力と信頼できない入力を区別できていないからです。たとえば、このRESTエンドポイントが「theme」パラメータを正しく検証していないため、悪意のあるデータが通ってしまう。運用者はまず、SiteOrigin Widgets Bundleプラグインがインストールされているかを確認すべきです。

WordPressのプラグイン一覧を確認し、バージョンが1.73.2以下の場合は即座にパッチを適用する必要があります。また、REST APIのアクセス制限を点検し、不要なエンドポイントを無効化するのも重要です。

任意のPHPコードの実行が可能なので、機密情報の漏洩やアクセス制御の回避が考えられます。ただし、攻撃には「contributor-level access」が必要である点は、運用者がアクセス権の管理を厳格にしている場合、リスクを抑える余地があります。

まず、ログを監視して異常なリクエスト（例：不正な「theme」パラメータの送信）を検出する必要があります。また、変更管理の文書化を徹底し、パッチ適用後の環境の再確認を漏らさないことが肝心です。ベンダーの公式情報（NVDやプラグイン公式サイト）を参照し、誤った情報に惑わされないよう注意しましょう。

信頼は、システムが「正しく」設計されていることと、運用者が「正しく」対応することの両方に依存します。WordPressのプラグインが信頼できるかどうかは、開発者の対応と運用者の確認の両方が必要です。信頼は、盲目的ではなく、検証と透明性に基づくものです。

「PHPファイルを実行できる」リスクに怯えるより、まずは「このプラグインがインストールされているか？」という質問に答えることから始めましょう。それが、現実の第一歩です。