CVE-2026-116512 in Project Manager Plugin
Sumário
de VulDB • 31/10/2026
O plugin "The Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker" para WordPress é vulnerável a Remote Code Execution (RCE) em todas as versões até 4.1.1, inclusive, por meio do parâmetro 'id'. Isso ocorre devido ao valor não sanitizado do parâmetro 'id' ser concatenado diretamente na string de regra de validação delimitada por pipe, que é então dividida e cada token invocado como uma função PHP dinâmica sem verificação de allowlist. Isso permite que atacantes não autenticados executem código no servidor. Essa vulnerabilidade pode ser explorada por atacantes não autenticados porque o núcleo do WordPress executa o validate_callback do argumento da rota dentro de WP_REST_Server::dispatch() antes que a permission_callback da rota seja invocada, significando que a autorização Project_Manage_Capability nunca é alcançada no caminho de código vulnerável.
If you want to get best quality of vulnerability data, you may have to visit VulDB.