Project Manager-Plugin: Unauthentifizierte Remote Code Execution

Zusammenfassung

Das WordPress-Plugin Project Manager (wedevs-project-manager) von weDevs validiert den Parameter 'id' nicht. Der Wert wird unbereinigt in eine Validierungsregel eingefügt, die aufgeteilt und als PHP-Funktionen ausgeführt wird, ohne Prüfung gegen eine Allowlist. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Code auf dem Server ausführen, sofern das Plugin installiert und aktiv ist. Laut Beschreibung wird der verwundbare Codepfad vor der Berechtigungsprüfung des Plugins ausgeführt.

Betroffen

• Project Manager-Plugin für WordPress (wedevs-project-manager), Versionen 0 bis einschliesslich 4.1.1

Behoben in

Unbekannt. Es wurde keine Herstellerwarnung oder gepatchte Version bestätigt.

Umgehung

• Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
• Plugin deaktivieren und entfernen, bis eine korrigierte Version bestätigt ist.
• Prüfen, ob Ihr WAF- oder Virtual-Patching-Dienst eine Regel für diese CVE bereitstellt.

Ausnutzung

Unbekannt. Zum Zeitpunkt der Erstellung wurden keine Hinweise auf aktive Ausnutzung oder einen öffentlichen Proof of Concept gefunden. Es wurde kein Eintrag im CISA-KEV-Katalog gefunden. Die CVE ist sehr neu, daher kann sich die Lage ändern.

Unsere Empfehlung

• Alle WordPress-Installationen mit diesem Plugin identifizieren, einschliesslich Staging-Systemen und inaktiven Installationen.
• Plugin dort deaktivieren und entfernen, wo es nicht zwingend benötigt wird.
• Wordfence und den Hersteller auf eine korrigierte Version überwachen und diese sofort einspielen.
• Webserver-Logs auf ungewöhnliche Anfragen mit Parameter 'id' an die REST-Routen des Plugins prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• WordPress.org plugin listing wordpress.org
• Trac changeset 3772103 (Abstract_Validator.php) plugins.trac.wordpress.org
• Trac 4.1.1 Abstract_Validator.php plugins.trac.wordpress.org
• Trac 4.1.1 WP_Router.php plugins.trac.wordpress.org
• GitHub pull request 698 (release 4.1.1) github.com
• GitHub release v4.0.7 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:21.