CVE-2026-18202
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka JetEngine dla WordPressa przed wersją 3.8.14 dodaje SVG do ogólnej listy dozwolonych typów przesyłania bez sanityzacji zawartości plików, co pozwala użytkownikom z uprawnieniami do przesyłania plików, takim jak Autorzy, na przesyłanie plików zawierających złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting). W multisite, to również nadpisuje ograniczenie typu przesyłania ustawione przez administratora sieci.
Ocena ryzyka
Złośliwy JavaScript może kraść dane użytkowników, przejmować sesje lub rozprzestrzeniać złośliwe oprogramowanie.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do wersji 3.8.14 lub nowszej, która zawiera poprawki sanityzacji plików SVG.
Inne podatności w JetEngine
Zobacz wszystkie- CVE-2026-97238Średnie
Podatność Cross Site Scripting (XSS) w wtyczce JetEngine do wersji 3.8.14.3 włącznie. Użytkownik z rolą subskrybenta może wstrzykiwać złośliwe skrypty.
- CVE-2026-97237Wysokie
Nieuwierzytelniony atak XSS w wtyczce JetEngine w wersjach do 3.8.14.3 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-66581Wysokie
Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce JetEngine w wersjach do 3.8.14.1 włącznie.
- CVE-2026-65467Średnie
Wtyczka JetEngine w wersji 3.8.11 i starszych jest podatna na ataki SSRF z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wysłać żądanie do wewnętrznych zasobów sieciowych.
- CVE-2026-54189Wysokie
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-54188Wysokie
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-49074Wysokie
W wersjach JetEngine <= 3.8.9.1 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście użytkownika.
- CVE-2026-66613Krytyczne
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
- CVE-2026-56068Krytyczne
Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.
- CVE-2026-54187Krytyczne
W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
The JetEngine WordPress plugin before 3.8.14 adds SVG to the site-wide list of allowed upload types without sanitising the file contents, allowing users with the upload files capability, such as Authors, to upload a file containing malicious JavaScript that executes in the browser of any user who opens it (Stored Cross-Site Scripting). On multisite, this also overrides an upload-type restriction set by the network administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS