CVE-2026-4004WordPress Task Manager插件在3.0.2及以下版本中存在安全漏洞。由于`callback_search()`函数缺少权限检查且输入验证不足，攻击者可通过'search' AJAX操作执行任意Shortcode。`sanitize_text_field()`未过滤方括号语法，导致恶意输入被传递给`do_shortcode()`。拥有订阅者及以上权限的认证攻击者可注入Shortcode语法，在站点上执行任意操作。
该漏洞源于WordPress Task Manager插件对AJAX请求处理的不安全性。漏洞核心位于`callback_search()`函数，该函数通过`search` action处理请求。代码逻辑中未对当前用户执行严格的权限检查，导致仅拥有订阅者权限的攻击者即可调用此敏感接口。更严重的是，输入验证机制存在缺陷，虽然使用了`sanitize_text_field()`函数，但它未过滤方括号`[]`，即WordPress Shortcode的标准语法。攻击者可将恶意Shortcode字符串注入到`task_id`、`point_id`等参数中。这些未经充分净化的输入随后被直接拼接到查询逻辑中并传递给`do_shortcode()`函数执行。由于WordPress生态中存在许多功能强大的Shortcode，攻击者通过构造特定Payload，可利用这些合法功能实现未授权的操作，甚至导致远程代码执行。