Project Manager для WordPress: віддалене виконання коду (CVE-2026-116512)
У плагіні Project Manager для WordPress знайдено вразливість CVE-2026-116512 (CVSS 9.8). Значення параметра 'id' потрапляє в рядок правил валідації, і кожен його фрагмент викликається як динамічна PHP-функція без списку дозволених функцій.
Перевіряється в Shield: ні
Кого стосується
Уражені всі версії плагіна до 4.1.1 включно. Атакувальнику не потрібна авторизація: validate_callback у WordPress виконується раніше за permission_callback, тому перевірка прав не спрацьовує.
Як перевірити в себе
В адмінпанелі WordPress відкрийте розділ «Плагіни» та знайдіть Project Manager. Якщо встановлена версія 4.1.1 або нижча, сайт підпадає під вразливість.
Як виправити
Виправлену версію в джерелі не зазначено. Перевіряйте оновлення плагіна й встановіть патч, коли він з’явиться. До того можна розглянути тимчасове вимкнення плагіна.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Дані про виправлену версію та випадки експлуатації поки не розкриті. Джерело: NVD, CVE-2026-116512.
