CVE-2026-49076
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Wtyczka JetEngine dla WordPressa (Crocoblock) do wersji 3.8.9.1 zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ślepej iniekcji SQL (Blind SQL Injection).
Ocena ryzyka
Atakujący może wydobywać dane z bazy danych witryny WordPress, w tym informacje o użytkownikach i inne wrażliwe dane, bez bezpośredniego widoku wyników zapytania. Może to prowadzić do wycieku danych i dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do wersji nowszej niż 3.8.9.1, gdy tylko poprawka będzie dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do witryny lub wdrożenie reguł WAF filtrujących próby iniekcji SQL.
Inne podatności w JetEngine
Zobacz wszystkie- CVE-2026-39735Średnie
Wtyczka JetEngine firmy Crocoblock (do wersji 3.9.0.1) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-115608Wysokie
Wtyczka WordPress JetEngine firmy Crocoblock w wersjach do 3.9.0 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-97238Średnie
Podatność Cross Site Scripting (XSS) w wtyczce JetEngine do wersji 3.8.14.3 włącznie. Użytkownik z rolą subskrybenta może wstrzykiwać złośliwe skrypty.
- CVE-2026-66613Krytyczne
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
- CVE-2026-56068Krytyczne
Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.
- CVE-2026-54187Krytyczne
W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-52706Krytyczne
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-49084Krytyczne
Wersje JetEngine poniżej 3.8.9.1 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-49075Krytyczne
Wersje JetEngine do 3.8.9.1 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu do danych.
- CVE-2026-42774Krytyczne
Wtyczka JetEngine dla WordPress od Crocoblock jest podatna na iniekcję SQL. Podatność występuje we wszystkich wersjach do 3.8.8.1 włącznie. Brak odpowiedniej neutralizacji specjalnych elementów używanych w poleceniach SQL umożliwia atakującemu wykonanie dowolnych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Crocoblock JetEngine jet-engine allows Blind SQL Injection.This issue affects JetEngine: from n/a through 3.8.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS