Project Manager for WordPress: ejecución remota de código (CVE-2026-116512)
Se publicó una vulnerabilidad, CVE-2026-116512 (CVSS 9.8), para el plugin Project Manager de WordPress. El parámetro 'id' se concatena en una cadena de reglas de validación y cada token se invoca como una función dinámica de PHP sin lista de permitidos.
Revisado en Shield: sí
Quién está afectado
Están afectadas todas las versiones del plugin hasta la 4.1.1 incluida. No se necesita autenticación: WordPress ejecuta validate_callback antes de permission_callback, así que la comprobación de permisos nunca se alcanza en esta ruta de código.
Cómo comprobar
En el panel de WordPress, abre la página Plugins y busca Project Manager. Si la versión instalada es la 4.1.1 o inferior, el sitio está dentro del rango afectado.
Cómo corregirlo
La fuente no indica una versión corregida. Está atento a una actualización del plugin e instala el parche cuando se publique. Mientras tanto, considera desactivar el plugin temporalmente.
Qué comprueba Shield gratis
Shield detecta WP Project Manager por las direcciones de sus archivos en el código de la página, lee la versión del readme.txt del plugin (la línea Stable tag) o del ?ver= de sus archivos y la compara con la versión corregida 4.1.2. Si tu versión es menor, el informe mostrará un hallazgo con enlace al CVE. Gratis, en cada análisis. Si el plugin no deja rastros en las páginas, no se ve desde fuera: revisa la versión en tu panel de administración.
Conviene saber
Aún no se divulgan la versión corregida ni si se explota activamente. Fuente: NVD, CVE-2026-116512.
