Falha crítica em plugin WordPress permite que atacantes não autenticados executem código remoto

Uma falha crítica de segurança no plugin Project Manager para WordPress, registrada como CVE-2026-116512, permite que atacantes não autenticados executem código remoto em sites vulneráveis. O problema afeta versões até a 4.1.1, inclusive, e tem pontuação CVSS 9.8, colocando-a no nível mais alto de severidade.

A vulnerabilidade vem de um parâmetro id sem sanitização que é injetado em uma string de regra de validação e depois invocado como função dinâmica do PHP. Como o núcleo do WordPress executa o callback de validação antes do callback de permissão, atacantes conseguem contornar completamente a barreira de autorização do plugin e rodar código no servidor. Administradores devem atualizar o plugin para uma versão acima da 4.1.1 imediatamente e restringir o acesso direto ao servidor sempre que possível.