CVE-2026-116512

Nome do Software Vulnerável e Versões Afetadas Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker versões anteriores a 4.1.2

Descrição Atacantes não autenticados podem realizar a execução remota de código no servidor. O problema ocorre porque o parâmetro id é concatenado diretamente em uma string de regra de validação delimitada por pipe sem sanitização. Esta string é posteriormente dividida, e cada token resultante é invocado como uma função PHP dinâmica sem a verificação de uma lista de permissões (allowlist). Esta falha é explorável porque o núcleo do WordPress executa o validate callback dentro de WP REST Server::dispatch() antes que o permission callback seja acionado, ignorando o portão de autorização Project Manage Capability.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.