Project Manager для WordPress: удалённое выполнение кода (CVE-2026-116512)
В плагине Project Manager для WordPress найдена уязвимость CVE-2026-116512 (CVSS 9.8). Значение параметра 'id' попадает в строку правил валидации, и каждый её фрагмент вызывается как динамическая PHP-функция без списка разрешённых функций.
Проверяется в Shield: нет
Кого касается
Затронуты все версии плагина до 4.1.1 включительно. Атакующему не нужна авторизация: validate_callback в WordPress выполняется раньше permission_callback, поэтому проверка прав не срабатывает.
Как проверить у себя
В админ-панели WordPress откройте раздел «Плагины» и найдите Project Manager. Если установлена версия 4.1.1 или ниже, сайт подпадает под уязвимость.
Как исправить
Исправленная версия в источнике не указана. Проверьте обновления плагина и установите патч, когда он появится. До этого можно рассмотреть временное отключение плагина.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данные об исправленной версии и о случаях эксплуатации пока не раскрыты. Источник: NVD, CVE-2026-116512.
