CVE-2026-116512 in Project Manager Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das Plugin „The Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker“ für WordPress ist in allen Versionen bis einschließlich 4.1.1 anfällig für Remote Code Execution (RCE) über den Parameter 'id'. Dies liegt an einem nicht bereinigten Wert des Parameters 'id', der direkt in die pipe-getrennte Validierungsregel-String-Konkatenation eingefügt wird, welcher anschließend aufgeteilt und jedes Token als dynamische PHP-Funktion ohne Allowlist-Prüfung ausgeführt wird. Dadurch ist es Angreifern ohne Authentifizierung möglich, Code auf dem Server auszuführen. Dies kann von nicht authentifizierten Angreifern ausgenutzt werden, da der WordPress-Core den validate_callback des Routenarguments innerhalb von WP_REST_Server::dispatch() ausführt, bevor die permission_callback der Route aufgerufen wird; dies bedeutet, dass das Projekt_Manage_Capability-Autorisierungsgate im anfälligen Codepfad niemals erreicht wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.