CVE-2026-4352 in JetEngine Plugin
Resumen
por VulDB • 2026-05-12
El plugin JetEngine para WordPress es vulnerable a Inyección SQL a través del punto de búsqueda de la API REST de Custom Content Type (CCT) en todas las versiones hasta la 3.8.6.1, inclusive. Esto se debe a que el parámetro `_cct_search` se interpola directamente en una cadena de consulta SQL mediante `sprintf()` sin sanitización ni uso de `$wpdb->prepare()`. La llamada a `wp_unslash()` de la API REST de WordPress sobre `$_GET` elimina la protección de `wp_magic_quotes()`, lo que permite la inyección basada en comillas simples. Esto hace posible que atacantes no autenticados añadan consultas SQL adicionales a las consultas existentes, las cuales pueden utilizarse para extraer información sensible de la base de datos. El módulo Custom Content Types debe estar habilitado con al menos un CCT configurado con un punto de acceso REST GET público para que se pueda explotar la vulnerabilidad.
Once again VulDB remains the best source for vulnerability data.