CVE-2026-18202
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wtyczka JetEngine dla WordPressa przed wersją 3.8.14 dodaje SVG do ogólnej listy dozwolonych typów przesyłania bez sanityzacji zawartości plików, co pozwala użytkownikom z uprawnieniami do przesyłania plików, takim jak Autorzy, na przesyłanie plików zawierających złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting). W multisite, to również nadpisuje ograniczenie typu przesyłania ustawione przez administratora sieci.
Ocena ryzyka
Złośliwy JavaScript może kraść dane użytkowników, przejmować sesje lub rozprzestrzeniać złośliwe oprogramowanie.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do wersji 3.8.14 lub nowszej, która zawiera poprawki sanityzacji plików SVG.
Inne podatności w JetEngine
Zobacz wszystkie- CVE-2026-39735Średnie
Wtyczka JetEngine firmy Crocoblock (do wersji 3.9.0.1) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-115608Wysokie
Wtyczka WordPress JetEngine firmy Crocoblock w wersjach do 3.9.0 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-97238Średnie
Podatność Cross Site Scripting (XSS) w wtyczce JetEngine do wersji 3.8.14.3 włącznie. Użytkownik z rolą subskrybenta może wstrzykiwać złośliwe skrypty.
- CVE-2026-66613Krytyczne
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
- CVE-2026-56068Krytyczne
Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.
- CVE-2026-54187Krytyczne
W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-52706Krytyczne
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-49084Krytyczne
Wersje JetEngine poniżej 3.8.9.1 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-49076Krytyczne
Wtyczka JetEngine dla WordPressa (Crocoblock) do wersji 3.8.9.1 zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ślepej iniekcji SQL (Blind SQL Injection).
- CVE-2026-49075Krytyczne
Wersje JetEngine do 3.8.9.1 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu do danych.
Oryginalny opis (angielski, źródło NVD)
The JetEngine WordPress plugin before 3.8.14 adds SVG to the site-wide list of allowed upload types without sanitising the file contents, allowing users with the upload files capability, such as Authors, to upload a file containing malicious JavaScript that executes in the browser of any user who opens it (Stored Cross-Site Scripting). On multisite, this also overrides an upload-type restriction set by the network administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS