Project Manager for WordPress: execução remota de código (CVE-2026-116512)
Uma vulnerabilidade, CVE-2026-116512 (CVSS 9.8), foi publicada para o plugin Project Manager do WordPress. O parâmetro 'id' é concatenado em uma string de regra de validação, e cada token é chamado como uma função PHP dinâmica, sem lista de permissões.
Verificado no Shield: sim
Quem é afetado
Todas as versões do plugin até a 4.1.1, inclusive, são afetadas. Não é necessária autenticação: o WordPress executa validate_callback antes de permission_callback, então a verificação de permissão nunca é alcançada nesse caminho de código.
Como verificar
No painel do WordPress, abra a página Plugins e encontre o Project Manager. Se a versão instalada for 4.1.1 ou anterior, o site está na faixa afetada.
Como corrigir
A fonte não informa uma versão corrigida. Acompanhe as atualizações do plugin e instale o patch quando for lançado. Até lá, considere desativar o plugin temporariamente.
O que o Shield verifica grátis
O Shield encontra o WP Project Manager pelos endereços dos arquivos no código da página, lê a versão no readme.txt do plugin (a linha Stable tag) ou no ?ver= dos arquivos e compara com a versão corrigida 4.1.2. Se a sua versão for menor, o relatório mostra um achado com link para o CVE. Grátis, em toda verificação. Se o plugin não deixa rastros nas páginas, ele não aparece de fora: confira a versão no seu painel de administração.
Bom saber
Ainda não foram divulgadas uma versão corrigida nem qualquer exploração na prática. Fonte: NVD, CVE-2026-116512.
