CVE-2026-116512 in Project Manager Plugin
Riassunto
di VulDB • 31/10/2026
Il plugin per WordPress "The Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker" è vulnerabile a Remote Code Execution (RCE) in tutte le versioni fino alla 4.1.1 inclusa, tramite il parametro 'id'. Ciò è dovuto al fatto che il valore del parametro 'id' non viene sanificato e viene concatenato direttamente nella stringa della regola di convalida separata da pipe, che successivamente viene suddivisa e ogni token invocato come una funzione PHP dinamica senza alcun controllo su un allowlist. Questo consente agli attaccanti non autenticati di eseguire codice sul server. La vulnerabilità è sfruttabile dagli attaccanti non autenticati perché il core di WordPress esegue la validate_callback dell'argomento del route all'interno di WP_REST_Server::dispatch() prima che venga invocata la permission_callback del route, il che significa che il gate di autorizzazione Project_Manage_Capability non viene mai raggiunto sul percorso di codice vulnerabile.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.