Если я правильно понял ситуацию, то исходники сервиса открывать не нужно, т.к. сервис предоставляет услугу плагину. Т.е. сервис не использует заражённый GPL код.
Конечно тут подразумевается, что сервис может работать без этого плагина, в обратном случае ситуация становится менее явной.