CVE-2026-116512

Project Manager <= 4.1.1 - Thực thi Mã Từ Xa Không Xác Thức qua Tham Số 'id' Function Injection

Plugin Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker cho WordPress có thể bị thực thi mã từ xa (Remote Code Execution - RCE) trong tất cả các phiên bản từ 4.1.1 trở xuống thông qua tham số 'id'. Điều này do giá trị tham số 'id' không được làm sạch được nối trực tiếp vào chuỗi kiểm tra quyền phân cách bằng dấu ngoặc kép, sau đó được tách và mỗi token được gọi như một hàm PHP động không có danh sách cho phép kiểm tra. Điều này cho phép kẻ tấn công không xác thực thực thi mã trên máy chủ. Điều này có thể được tận dụng bởi kẻ tấn công không xác thực vì WordPress core thực thi hàm validate_callback của đường dẫn trong WP_REST_Server::dispatch() trước khi hàm permission_callback của đường dẫn được gọi, nghĩa là rào cản Project_Manage_Capability never được đến trên đường dẫn mã lỗi.

CNA cấp mã

Wordfence

Ngày công bố

31/10/2026

Cập nhật

02/11/2026

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

CWE-434

EPSS (FIRST)

0.58% khả năng bị khai thác trong 30 ngày