CVE-2026-116512: Remote Code Execution nel plugin Project Manager

CVE-2026-116512 è una vulnerabilità di Remote Code Execution nel plugin Project Manager – AI Powered Project Management per WordPress. La falla risiede nel parametro 'id' che viene concatenato direttamente in una stringa di regola di validazione senza alcuna sanitizzazione. Questo parametro viene poi suddiviso e ogni token è invocato come funzione PHP dinamica, senza alcun controllo allowlist. Un attaccante non autenticato può sfruttare il flusso di WordPress REST API per eseguire codice arbitrario sul server, bypassando i controlli di autorizzazione.

Con un punteggio CVSS di 9,8 (critical), questa falla rappresenta una minaccia immediata e gravissima. Non è richiesta autenticazione: chiunque acceda a internet può tentare di sfruttarla. La vulnerabilità è stata pubblicata oggi (31 ottobre 2026) ed è stata segnalata anche su social media. Lo stato di disponibilità di una patch non è ancora confermato nei dati ufficiali. Se sei amministratore di un sito WordPress che usa questo plugin, il tempo di reazione è critico.

Azione immediata: disabilita o rimuovi il plugin Project Manager da tutte le installazioni WordPress. Se il plugin è fondamentale per le operazioni, contatta lo sviluppatore per verificare lo stato di una patch. Nel frattempo, monitora i log di accesso REST API per rilevare richieste sospette all'endpoint del plugin. Verifica se gli aggiornamenti plugin sono stati rilasciati nelle versioni successive a 4.1.1. Informare il team IT e il CISO della criticità di questa vulnerabilità è necessario per coordinare la risposta.