Paylaşım için teşekkürler, ikisi de ciddi açıklar. Site Import tarafındaki özellikle shared/reseller ortamlarda riskli, çünkü saldırgan zaten düşük yetkili bir hesap sahibi olarak sisteme giriyor ve extension üzerinden doğrudan root'a çıkabiliyor — yani tek bir kötü niyetli müşteri hesabı tüm sunucuyu tehlikeye atabiliyor. REST API tarafında kimlik doğrulama şartı olsa da yönetim arayüzünün dışarıya açık olması riski büyütüyor, bu yüzden API erişimini mümkünse IP allowlist ya da VPN arkasına almak mantıklı bir önlem. Panel fark etmeksizin (Plesk, cPanel, ispmanager ya da başka biri) extension/eklenti güncellemelerini çekirdek panel güncellemesinden ayrı takip etmekte fayda var, çünkü bu tip açıklar genelde extension katmanında çıkıyor ve bazı otomatik güncelleme mekanizmaları sadece core'u kapsıyor.