CVE-2026-116512 Ejecución remota de código en Project Manager vía el parámetro 'id'
El plugin Project Manager para WordPress concatena sin sanear el parámetro 'id' en una cadena de reglas de validación que luego invoca funciones PHP dinámicas sin lista de permitidos. Esto permite a atacantes no autenticados ejecutar código en el servidor, ya que la validación se ejecuta antes del control de permisos.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,6 % · percentil 48
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
wedevs Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker
hasta 4.1.1
Qué hacer
- Verificá si usás Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 4.1.1 via the 'id' parameter parameter. This is due to unsanitized 'id' parameter value concatenated directly into the pipe-delimited validation rule string, which is then split and each token invoked as a dynamic PHP function with no allowlist check. This makes it possible for unauthenticated attackers to execute code on the server. This is exploitable by unauthenticated attackers because WordPress core executes the route argument's validate_callback inside WP_REST_Server::dispatch() before the route's permission_callback is invoked, meaning the Project_Manage_Capability authorization gate is never reached on the vulnerable code path.
Referencias (5)
- www.wordfence.com/threat-intel/vulnerabilities/id/d3e300b3-39cc-4681-a8e8-02d9743f97ff?so…
- plugins.trac.wordpress.org/browser/wedevs-project-manager/tags/4.1.1/core/Validator/Abstr…
- plugins.trac.wordpress.org/browser/wedevs-project-manager/tags/4.1.1/src/Project/Validato…
- plugins.trac.wordpress.org/browser/wedevs-project-manager/tags/4.1.1/core/Router/WP_Route…
- plugins.trac.wordpress.org/changeset/3772103/wedevs-project-manager/trunk/core/Validator/…
Historial (2)
- VULNERABILIDADNueva vulnerabilidad detectada.
- EXPLOIT PÚBLICOSe publicó BabyMushr00w/CVE-2026-116512.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.