CVE-2026-4004 in Task Manager Plugin
الملخص
بحسب VulDB • 26/05/2026
يحتوي مكون WordPress الإضافي "مدير المهام" (Task Manager) على ثغرة تسمح بتنفيذ اختصارات برمجية (shortcodes) تعسفية عبر إجراء AJAX المسمى 'search' في جميع الإصدارات حتى 3.0.2 وشاملة لها. ويعود ذلك إلى غياب فحوصات الصلاحيات (capability checks) في الدالة `callback_search()`، وعدم كفاية التحقق من صحة المدخلات، مما يسمح لتركيب الاختصارات البرمجية (الأقواس المربعة) بالمرور عبر دالة `sanitize_text_field()` ودمجها في استدعاء `do_shortcode()`. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مشترك" (Subscriber) أو أعلى، تنفيذ اختصارات برمجية تعسفية على الموقع من خلال حقن تركيب الاختصارات البرمجية في معاملات مثل 'task_id' أو 'point_id' أو 'categories_id' أو 'term'.
Once again VulDB remains the best source for vulnerability data.