CVE-2026-81760
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność typu Reflected Cross-Site Scripting (XSS) w wtyczce JetEngine od Crocoblock. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony umożliwia odbicie złośliwego skryptu w odpowiedzi serwera.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub innych szkodliwych działań w kontekście zalogowanego użytkownika.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do wersji nowszej niż 3.8.14.2, która zawiera poprawkę eliminującą podatność.
Inne podatności w JetEngine
Zobacz wszystkie- CVE-2026-39735Średnie
Wtyczka JetEngine firmy Crocoblock (do wersji 3.9.0.1) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-115608Wysokie
Wtyczka WordPress JetEngine firmy Crocoblock w wersjach do 3.9.0 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-97238Średnie
Podatność Cross Site Scripting (XSS) w wtyczce JetEngine do wersji 3.8.14.3 włącznie. Użytkownik z rolą subskrybenta może wstrzykiwać złośliwe skrypty.
- CVE-2026-66613Krytyczne
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
- CVE-2026-56068Krytyczne
Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.
- CVE-2026-54187Krytyczne
W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-52706Krytyczne
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-49084Krytyczne
Wersje JetEngine poniżej 3.8.9.1 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-49076Krytyczne
Wtyczka JetEngine dla WordPressa (Crocoblock) do wersji 3.8.9.1 zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ślepej iniekcji SQL (Blind SQL Injection).
- CVE-2026-49075Krytyczne
Wersje JetEngine do 3.8.9.1 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu do danych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Crocoblock JetEngine allows Reflected XSS. This issue affects JetEngine: from n/a through 3.8.14.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS