CVE-2026-49076
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Wtyczka JetEngine dla WordPressa (Crocoblock) do wersji 3.8.9.1 zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Umożliwia to atakującemu przeprowadzenie ślepej iniekcji SQL (Blind SQL Injection).
Ocena ryzyka
Atakujący może wydobywać dane z bazy danych witryny WordPress, w tym informacje o użytkownikach i inne wrażliwe dane, bez bezpośredniego widoku wyników zapytania. Może to prowadzić do wycieku danych i dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do wersji nowszej niż 3.8.9.1, gdy tylko poprawka będzie dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do witryny lub wdrożenie reguł WAF filtrujących próby iniekcji SQL.
Inne podatności w JetEngine
Zobacz wszystkie- CVE-2026-97238Średnie
Podatność Cross Site Scripting (XSS) w wtyczce JetEngine do wersji 3.8.14.3 włącznie. Użytkownik z rolą subskrybenta może wstrzykiwać złośliwe skrypty.
- CVE-2026-97237Wysokie
Nieuwierzytelniony atak XSS w wtyczce JetEngine w wersjach do 3.8.14.3 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-66581Wysokie
Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce JetEngine w wersjach do 3.8.14.1 włącznie.
- CVE-2026-65467Średnie
Wtyczka JetEngine w wersji 3.8.11 i starszych jest podatna na ataki SSRF z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wysłać żądanie do wewnętrznych zasobów sieciowych.
- CVE-2026-54189Wysokie
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-54188Wysokie
W wersjach JetEngine do 3.8.10 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-49074Wysokie
W wersjach JetEngine <= 3.8.9.1 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu w kontekście użytkownika.
- CVE-2026-66613Krytyczne
Podatność umożliwiająca nieuwierzytelnione zdalne wykonanie kodu (RCE) w wtyczce JetEngine w wersjach do 3.8.14 włącznie. Atakujący może wykonać dowolny kod na serwerze bez logowania.
- CVE-2026-56068Krytyczne
Wtyczka JetEngine dla WordPressa w wersji 3.8.10.2 i starszych zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać nieuwierzytelniony atakujący. Podatność ta pozwala na wykonanie nieautoryzowanych zapytań do bazy danych.
- CVE-2026-54187Krytyczne
W wersjach JetEngine <= 3.8.10.1 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Crocoblock JetEngine jet-engine allows Blind SQL Injection.This issue affects JetEngine: from n/a through 3.8.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS