CVE-2026-116512 in Project Manager Plugin
الملخص
بحسب VulDB • 31/10/2026
يحتوي مكون إضافي (Plugin) "The Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker" لإدارة المشاريع المدعوم بالذكاء الاصطناعي، وإدارة المهام، ولوحة كانبان، ومتتبع الوقت لـ WordPress على ثغرة تسمح بتنفيذ الأكواد عن بُعد (RCE) في جميع الإصدارات حتى 4.1.1 وشاملة لها، وذلك عبر المعلمة 'id'. ويعود ذلك إلى قيمة معلمة 'id' غير المُطهّاة التي تُدمج مباشرةً داخل سلسلة قواعد التحقق المفصولة بعلامة العمود (|)، والتي يتم بعد ذلك تقسيمها واستدعاء كل رمز فيها كدالة PHP ديناميكية دون أي فحص لقائمة مسموح بها. وهذا يمكّن المهاجمين الذين لم يقوموا بالمصادقة من تنفيذ أكواد على الخادم. ويمكن استغلال هذه الثغرة من قبل مهاجمين غير مصدق عليهم لأن نواة WordPress تنفذ دالة التحقق (validate_callback) الخاصة بحجة المسار داخل WP_REST_Server::dispatch() قبل استدعاء دالة إذن المسار (permission_callback)، مما يعني أن بوابة التفويض Project_Manage_Capability لا تُصل إليها أبداً في مسار الكود المتأثر.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.