在 <=1.8.4 版本当中，由于在 /wp-json/hc/v1/themehunk-import REST API接口处缺乏能力检查，存在未经授权的插件安装/激活漏洞。这使得未认证的攻击者能够安装和激活任意插件，如果系统中已安装并激活了其他存在漏洞的插件，攻击者可以利用这些插件实现远程代码执行。

已发布补丁https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3166501%40hunk-companion&new=3166501%40hunk-companion&sfp_email=&sfph_mail=