Считаю, что это не просто «ещё одна уязвимость» — это реальная угроза, потому что уязвимость критическая (CVSS 9.8), и она позволяет захватить сайт без каких-либо входных данных. Важно, что она не требует сложных действий — боты могут найти и использовать её автоматически. На мой взгляд, самое опасное — это то, что уязвимость была в публичном API, который работает без проверки, и это значит, что сайт может быть взломан даже при отсутствии активных пользователей в админке.
Уже начал проверять у клиентов, кто использует Pods. Проверяю версии, и если обнаруживаю уязвимую — сразу обновляю. У тех, у кого включена автоматическая поддержка, это уже сделано. У других — ставлю в план на неделю. Пока не тороплюсь с массовым обновлением, потому что версия 3.3.9.1 — не единственный исправленный выпуск, и нужно убедиться, что обновление затронуло именно нужную ветку. Главное — не просто поставить обновление, а проверить, что в системе больше нет следов заражения, и что уязвимость закрыта на всех уровнях.