Résumé
généré automatiquement à partir des données NVDLe plugin WordPress « Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker » est vulnérable à une exécution de code à distance dans toutes ses versions jusqu'à la 4.1.1 incluse. Le paramètre 'id' est concaténé sans assainissement dans une chaîne de règles de validation, dont chaque élément est ensuite appelé comme fonction PHP dynamique sans liste d'autorisation. Un attaquant non authentifié peut ainsi exécuter du code sur le serveur, la validation s'exécutant avant le permission_callback. Score CVSS 9.8 (critique).
Description NVD (anglais)
The Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 4.1.1 via the 'id' parameter parameter. This is due to unsanitized 'id' parameter value concatenated directly into the pipe-delimited validation rule string, which is then split and each token invoked as a dynamic PHP function with no allowlist check. This makes it possible for unauthenticated attackers to execute code on the server. This is exploitable by unauthenticated attackers because WordPress core executes the route argument's validate_callback inside WP_REST_Server::dispatch() before the route's permission_callback is invoked, meaning the Project_Manage_Capability authorization gate is never reached on the vulnerable code path.
EPSS · FIRST.org
0,58 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 47 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 31 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 31 oct. 2026
- Mis à jour
- 31 oct. 2026
- Statut
- Received
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-434
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.