Если на сайте задачи ведут через Project Manager и версия не новее 4.1.1, посторонний без пароля может выполнить код на сервере. Патч 4.1.2 уже в каталоге. Wordfence оценивает CVE-2026-116512 в 9.8. В changelog этой версии написано, что проверка изменений проекта поправлена до сохранения, сообщение пришло от Wordfence.
31 октября проверьте ещё два плагина. PDF Invoice for WooCommerce, счета для магазина, до 7.1.1 включительно: примечание к заказу попадает в PDF и разбирается как PHP-объект, пароль для этого не нужен. Закрывает 7.2.0. Uncanny Toolkit for LearnDash, модули для курсов, до 3.8.2 пускает в учётку, которую ещё не подтвердили или уже заблокировали, если пароль этой учётки и так известен. Нового пользователя плагин не создаёт. Ставьте 3.8.3.
В каталоге у Project Manager больше 5 тысяч активных установок, у набора для LearnDash больше 20 тысяч, у счетов больше 500.
- Project Manager, slug wedevs-project-manager. Версии до 4.1.1 включительно. Без пароля запуск кода. Патч 4.1.2.
- PDF Invoice for WooCommerce, slug pdf-for-woocommerce. Счета магазина. Версии до 7.1.1 включительно. Без пароля код при сборке PDF. Патч 7.2.0.
- Uncanny Toolkit for LearnDash, slug uncanny-learndash-toolkit. Модули курсов. Версии до 3.8.2 включительно. Вход в неподтверждённую или заблокированную учётку, если пароль уже известен. Патч 3.8.3.
При сохранении проекта значение поля подставляется в правила проверки и вызывается как функция PHP. Списка разрешённых имён нет, а право править проект смотрится уже после вызова. Запрос без учётки до этого места доходит. Если slug wedevs-project-manager есть и версия ниже 4.1.2, обновляйте сегодня, не в понедельник.
Перед обновлением на проде снимите бэкап файлов и базы. Все три slug есть в каталоге wordpress.org.
wp plugin list --fields=name,status,version | grep -Ei 'wedevs-project-manager|pdf-for-woocommerce|uncanny-learndash-toolkit' wp plugin get wedevs-project-manager --field=version wp plugin update wedevs-project-manager pdf-for-woocommerce uncanny-learndash-toolkit
Если ни wedevs-project-manager, ни pdf-for-woocommerce, ни uncanny-learndash-toolkit в списке плагинов нет, эти дыры сайта не касаются.
