WordPress プラグイン Project Manager 4.1.1 以前で、認証なしのリモートコード実行（CVE-2026-116512）: 検証ルールに 'id' 値が混入し PHP 関数として呼ばれる、4.1.2 に更新を

WordPress 用プラグイン「Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker」（配布名 wedevs-project-manager）の 4.1.1 以前に、認証なしでサーバー上のコードを実行できる脆弱性（CVE-2026-116512）が公表され、10/31 に NVD へ登録されました。CVSS v3.1 は 9.8（Critical）で、この値を付けたのは CNA の Wordfence です（NVD 自身の評価は未実施で、状態は「Received」）。配布元の changelog に、10/29 公開の 4.1.2 で「プロジェクト変更の検証に関するセキュリティ問題を修正」とあります。 ただし、この記載が本件を指すと明言はされていないため、対応は推定です。

何が起きるか

• CNA の説明によると、REST API のルート引数 id の値が、パイプ区切りの検証ルール文字列にそのまま連結されます。その文字列を分割した各要素が、許可リストの確認なしに PHP の関数として呼び出されます。
• WordPress 本体は、ルートの validate_callback を permission_callback より先に WP_REST_Server::dispatch() の中で実行します。このため、プラグインの権限確認（Project_Manage_Capability）にたどり着く前に、問題のコードが実行されます。これが「認証なし」で成り立つ理由と説明されています。
• 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（2026.10.30 版・1766 件で確認）。

影響を受ける条件と評価

項目	内容
対象	Project Manager プラグイン 4.1.1 以前（CNA の記載は「4.1.1 までのすべての版」）。下限の版は記載なし
前提	プラグインが有効で、REST API のルートが外部から到達できること。ログインは不要
CVSS	v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。付与したのは Wordfence（CNA、NVD の種別は Primary 表示）。NVD 自身の評価は未実施
状態	NVD の状態は「Received」（10/31 登録）。NVD の影響版の構成情報は未登録
弱点の分類	NVD の記載は CWE-434（危険な種類のファイルの無制限アップロード）。説明の内容（検証ルールへの値の混入と動的な関数呼び出し）とは一致して見えないため、分類は参考程度
EPSS	0.58%（パーセンタイル 48.0%、10/31 時点、FIRST）
修正	4.1.2（10/29 公開）。changelog の「Security」項目が該当すると見られる（推定）

修正の状況

• WordPress.org のプラグイン情報では、現在の最新版は 4.1.2（最終更新 10/29）です。changelog の 4.1.2 の項は「Security: プロジェクト変更を保存する前の検証に関するセキュリティ問題を修正。すぐに更新するよう勧める」と書いています。
• 参照先に挙がっているプラグインのリポジトリの変更（changeset 3772103）は、検証クラス Abstract_Validator.php を対象にしています。コードの差分の中身は、当サイトでは確認できていません。
• 4.1.1（10/20 公開）の changelog には別の件（SVG サニタイザの更新）があり、本件の修正は含まれません。

対応として考えられること（本記事の推定）

1. WordPress の管理画面で、Project Manager プラグインの版を確認します。4.1.1 以前なら、すぐに 4.1.2 以降へ更新します。
2. 更新できない間は、プラグインを無効化することで、問題のルートへの到達を止められると考えられます（この対処の効果は当サイトでは検証していません）。
3. 更新前に、サイトのファイルとデータベースのバックアップを取ります。公開前の版を使っていた期間（10/20 以降を含む）のアクセスログに、WordPress の REST API（/wp-json/ 配下）への不審なリクエストがないかを確認する、という点検も考えられます（ログの形式は構成によります）。

未確認の点

• 悪用の報告は確認できていません。KEV にも載っていません。
• 4.1.2 の変更が本件を指すこと、修正の中身、修正前の版の下限は確認できていません。
• 本記事の severity 欄は、認証不要・ネットワーク経由・利用者の操作不要でコード実行に至るとされる点を踏まえ critical にしました。CVSS 9.8 は CNA の値で、NVD 自身の評価は未実施です。
• 当サイトでは、コードの実行を再現していません。ソースコードの確認も行っておらず、記載は CNA の説明と配布元の changelog に基づきます。
• 日付は、NVD の登録（2026-10-31 08:16 UTC）と配布元の changelog の日付に基づきます。