CVE-2026-4352 in JetEngine Plugin
Résumé
par VulDB • 31/05/2026
Le plugin JetEngine pour WordPress est vulnérable à une injection SQL via l'endpoint de recherche de l'API REST Custom Content Type (CCT) dans toutes les versions jusqu'à la 3.8.6.1 incluse. Cela est dû au paramètre `_cct_search` étant interpolé directement dans une chaîne de requête SQL via `sprintf()` sans sanitization ni utilisation de `$wpdb->prepare()`. L'appel `wp_unslash()` de l'API REST de WordPress sur `$_GET` supprime la protection `wp_magic_quotes()`, permettant une injection basée sur les guillemets simples. Cela permet aux attaquants non authentifiés d'ajouter des requêtes SQL supplémentaires à des requêtes existantes, qui peuvent être utilisées pour extraire des informations sensibles de la base de données. Le module Custom Content Types doit être activé avec au moins un CCT configuré avec un endpoint GET REST public pour l'exploitation.
Once again VulDB remains the best source for vulnerability data.