WordPress : faille critique RCE dans le plugin Project Manager
CVE-2026-116512, notée 9.8 sur l'échelle CVSS 3.1, permet à un attaquant non authentifié d'exécuter des commandes arbitraires sur le serveur.
Une vulnérabilité critique affectant le plugin de gestion de projet pour WordPress Project Manager a été divulguée le 31 octobre 2026. Identifiée sous la référence CVE-2026-116512, elle obtient un score de 9.8 sur l'échelle CVSS 3.1, selon dailysecu.com.
Toutes les versions jusqu'à la 4.1.1 incluse sont concernées. La faille découle d'une validation des entrées et de contrôles de permissions insuffisants lors du traitement de paramètres de requêtes externes, ce qui permet à des attaquants non authentifiés d'exécuter des commandes arbitraires sur le serveur.
L'éditeur weDevs a publié la version 4.1.2 le 29 octobre 2026 pour corriger le problème. Les administrateurs de sites utilisant le plugin sont invités à passer à cette version.
Project Manager propose la planification de projets, la collaboration d'équipe, l'attribution de tâches ainsi que la création de tâches assistée par IA.
En bref
Quelles versions de Project Manager sont touchées ?
Toutes les versions jusqu'à la 4.1.1 incluse.
Quelle version corrige la faille ?
La version 4.1.2, publiée par weDevs le 29 octobre 2026.
Quel est le score CVSS de CVE-2026-116512 ?
9.8 sur l'échelle CVSS 3.1.