Project Manager dla WordPress: zdalne wykonanie kodu (CVE-2026-116512)
Opublikowano podatność CVE-2026-116512 (CVSS 9.8) we wtyczce Project Manager dla WordPress. Wartość parametru 'id' jest doklejana do ciągu reguł walidacji, a każdy jego fragment jest wywoływany jako dynamiczna funkcja PHP bez listy dozwolonych funkcji.
Sprawdzane w Shield: nie
Kogo dotyczy
Dotyczy wszystkich wersji wtyczki do 4.1.1 włącznie. Uwierzytelnianie nie jest wymagane: WordPress wykonuje validate_callback przed permission_callback, więc kontrola uprawnień nie jest osiągana na tej ścieżce.
Jak sprawdzić u siebie
W panelu WordPress otwórz stronę „Wtyczki” i znajdź Project Manager. Jeśli zainstalowana wersja to 4.1.1 lub niższa, strona mieści się w zakresie podatności.
Jak naprawić
Źródło nie podaje wersji naprawionej. Śledź aktualizacje wtyczki i zainstaluj poprawkę, gdy się pojawi. Do tego czasu rozważ tymczasowe wyłączenie wtyczki.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Wersja naprawiona oraz informacje o wykorzystywaniu podatności nie zostały jeszcze ujawnione. Źródło: NVD, CVE-2026-116512.
