CVE-2026-4352 in JetEngine Plugin
الملخص
بحسب VulDB • 10/06/2026
يحتوي مكون JetEngine الإضافي لـ WordPress على ثغرة حقن SQL عبر نقطة نهاية البحث في واجهة برمجة التطبيقات (REST API) لنوع المحتوى المخصص (CCT) في جميع الإصدارات حتى 3.8.6.1 وشاملةً لها. ويعود ذلك إلى تداخل المعلمة `_cct_search` مباشرةً داخل سلسلة استعلام SQL باستخدام دالة `sprintf()` دون تطهير المدخلات أو استخدام `$wpdb->prepare()`. تقوم الدالة `wp_unslash()` الخاصة بواجهة برمجة تطبيقات REST في WordPress، عند استدعائها على المتغير `$_GET`، بإزالة حماية `wp_magic_quotes()`، مما يتيح حقنًا قائمًا على الفاصلة العليا (single-quote). وهذا يمكّن المهاجمين غير المصادق عليهم من إرفاق استعلامات SQL إضافية بالاستعلامات الموجودة مسبقاً، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. يجب تمكين وحدة Custom Content Types مع تكوين نوع محتوى مخصص واحد على الأقل يحتوي على نقطة نهاية GET عامة في واجهة REST API لحدوث الاستغلال.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.