CVE-2026-39735
ŚrednieCVSS 6.5Streszczenie
Wtyczka JetEngine firmy Crocoblock (do wersji 3.9.0.1) zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji lub danych, do których nie ma uprawnień, co może skutkować nieautoryzowanymi modyfikacjami w witrynie.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do najnowszej wersji i sprawdź konfigurację uprawnień oraz ról użytkowników.
Inne podatności w JetEngine
Zobacz wszystkie- CVE-2026-115608Wysokie
Wtyczka WordPress JetEngine firmy Crocoblock w wersjach do 3.9.0 zawiera podatność SQL Injection wynikającą z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Może to umożliwić atakującemu wstrzyknięcie złośliwego kodu SQL.
- CVE-2026-97238Średnie
Podatność Cross Site Scripting (XSS) w wtyczce JetEngine do wersji 3.8.14.3 włącznie. Użytkownik z rolą subskrybenta może wstrzykiwać złośliwe skrypty.
- CVE-2026-66613Krytyczne
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
- CVE-2026-56068Krytyczne
Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.
- CVE-2026-54187Krytyczne
W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-52706Krytyczne
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-49084Krytyczne
Wersje JetEngine poniżej 3.8.9.1 zawierają podatność na nieautoryzowaną injekcję SQL.
- CVE-2026-49076Krytyczne
Wtyczka JetEngine dla WordPressa (Crocoblock) do wersji 3.8.9.1 zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ślepej iniekcji SQL (Blind SQL Injection).
- CVE-2026-49075Krytyczne
Wersje JetEngine do 3.8.9.1 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu do danych.
- CVE-2026-42774Krytyczne
Wtyczka JetEngine dla WordPress od Crocoblock jest podatna na iniekcję SQL. Podatność występuje we wszystkich wersjach do 3.8.8.1 włącznie. Brak odpowiedniej neutralizacji specjalnych elementów używanych w poleceniach SQL umożliwia atakującemu wykonanie dowolnych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Crocoblock JetEngine jet-engine allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects JetEngine: from n/a through 3.9.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS