PoC de execução remota de código no Project Manager do WordPress
O plugin Project Manager do WordPress, da weDevs, permite execução remota de código por invasores sem autenticação em todas as versões até a 4.1.1, segundo a Patchstack. Uma prova de conceito foi divulgada e a fonte não informa correção disponível. Quem usa o plugin deve restringir ou desativar a ferramenta até atualizar.
O que aconteceu
Uma falha no plugin Project Manager do WordPress, da weDevs, permite que invasores executem código no servidor do site sem precisar de conta ou senha. A falha vale para todas as versões até a 4.1.1 e uma prova de conceito já foi divulgada pela Patchstack.
Por que importa
Um invasor pode assumir o controle do site, roubar dados armazenados ou desfigurar páginas, mesmo sem ter usuário válido. Sites de empresas que usam este plugin de gestão de projetos ficam expostos diretamente na internet.
O que fazer
Verifique hoje se algum site usa o plugin Project Manager da weDevs em versão 4.1.1 ou anterior. Enquanto a fonte não informa correção, desative o plugin ou restrinja o acesso. Atualize assim que a nova versão for lançada.
Para o time técnico
- CVE
- CVE-2026-116512
- Afetados
- weDevs Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker (plugin WordPress) · Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker (weDevs, WordPress): todas as versões até, e incluindo, a 4.1.1.
- Exploração
- PoC/exploit divulgada e catalogada pela Patchstack (PT ID PT-2026-134475). A fonte não relata exploração em campo.
- Correção
- A fonte não menciona versão corrigida, patch ou mitigação.
- Vetor
- Plugin Project Manager do WordPress (weDevs), CVE-2026-116512. O valor não sanitizado do parâmetro 'id' é concatenado em uma string de regra de validação delimitada por pipes; a string é dividida e cada token é invocado como função PHP dinâmica, sem verificação de lista de permissões. Explorável sem autenticação: o WordPress core executa o validate_callback do argumento da rota dentro de WP_REST_Server::dispatch antes do permission_callback, então o gate de autorização Project_Manage_Capability nunca é atingido no caminho vulnerável. Nenhum login é necessário.
- Mais detalhes
- A causa raiz está na ordem de execução do WordPress REST: a validação do argumento roda antes da checagem de permissão da rota, o que transforma uma falha de validação em execução de código sem autenticação. Descrição técnica publicada pela Patchstack.
Linha do tempo
Patchstack divulga PoC de RCE (CVE-2026-116512) no plugin Project Manager até a versão 4.1.1.
Fontes 1 fonte
- @ptdbugs @ptdbugs
