CVE-2025-49938
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność typu Stored XSS w wtyczce JetEngine do wersji 3.7.3 włącznie. Atakujący może wstrzyknąć trwały skrypt, który będzie wykonywany w przeglądarkach użytkowników.
Ocena ryzyka
Możliwość przejęcia sesji, kradzieży danych lub modyfikacji treści strony przez nieautoryzowanego użytkownika.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do wersji z poprawką.
Inne podatności w JetEngine
Zobacz wszystkie- CVE-2026-39735Średnie
Wtyczka JetEngine firmy Crocoblock (do wersji 3.9.0.1) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-115608Wysokie
Wtyczka WordPress JetEngine firmy Crocoblock w wersjach do 3.9.0 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-97238Średnie
Podatność Cross Site Scripting (XSS) w wtyczce JetEngine do wersji 3.8.14.3 włącznie. Użytkownik z rolą subskrybenta może wstrzykiwać złośliwe skrypty.
- CVE-2026-66613Krytyczne
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
- CVE-2026-56068Krytyczne
Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.
- CVE-2026-54187Krytyczne
W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-52706Krytyczne
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-49084Krytyczne
Wersje JetEngine poniżej 3.8.9.1 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-49076Krytyczne
Wtyczka JetEngine dla WordPressa (Crocoblock) do wersji 3.8.9.1 zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ślepej iniekcji SQL (Blind SQL Injection).
- CVE-2026-49075Krytyczne
Wersje JetEngine do 3.8.9.1 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu do danych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Crocoblock JetEngine jet-engine allows Stored XSS.This issue affects JetEngine: from n/a through <= 3.7.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS