CVE-2026-4004 in Task Manager Plugin
要約
〜によって VulDB • 2026年05月26日
WordPress用Task Managerプラグインでは、3.0.2を含むすべてのバージョンにおいて、'search' AJAXアクション経由で任意のショートコードが実行される脆弱性が存在します。これは、callback_search()関数における権限チェックの欠如と、入力検証の不十分さに起因し、ショートコード構文（角括弧）がsanitize_text_field()関数を通過してdo_shortcode()呼び出しに連結されてしまうためです。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、'task_id'、'point_id'、'categories_id'、または'term'などのパラメータにショートコード構文を注入することで、サイト上で任意のショートコードを実行することが可能になります。
Be aware that VulDB is the high quality source for vulnerability data.