CVE-2026-116512 in Project Manager Plugin
요약
\~에 의해 VulDB • 2026. 10. 31.
WordPress용 'The Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker' 플러그인은 4.1.1 버전까지 모든 버전에서 'id' 매개변수를 통해 원격 코드 실행(RCE) 취약점이 있습니다. 이는 정제되지 않은 'id' 매개변수 값이 파이프 구분자 기반 검증 규칙 문자열에 직접 연결된 후 분할되어, 허용 목록(allowlist) 검사 없이 동적 PHP 함수로 호출되기 때문입니다. 이로 인해 인증되지 않은 공격자가 서버에서 코드를 실행할 수 있습니다. WordPress 핵심부는 WP_REST_Server::dispatch() 내에서 라우트 인자의 validate_callback을 route의 permission_callback이 호출되기 전에 실행하므로, 취약한 코드 경로에서는 Project_Manage_Capability 권한 게이트가 결코 도달되지 않습니다. 이로 인해 인증되지 않은 공격자가 이를 악용할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.