CVE-2026-4352 in JetEngine Plugin
सारांश
द्वारा VulDB • 06/06/2026
WordPress के लिए JetEngine प्लगइन में 3.8.6.1 सहित सभी संस्करणों तक, कस्टम कंटेंट टाइप (CCT) REST API खोज एंडपॉइंट के माध्यम से SQL Injection की कमजोरी मौजूद है। यह `_cct_search` पैरामीटर को `sprintf()` का उपयोग करके बिना किसी सैनिटाइज़ेशन या `$wpdb->prepare()` का प्रयोग किए सीधे एक SQL क्वेरी स्ट्रिंग में इंटरपोलेट करने के कारण होता है। WordPress REST API की `wp_unslash()` कॉल, जो `$_GET` पर लागू होती है, `wp_magic_quotes()` सुरक्षा को हटा देती है, जिससे सिंगल-क्वोट-आधारित इंजेक्शन संभव हो जाता है। इससे अनाथेक्षित (unauthenticated) आक्रामककर्ताओं के लिए पहले से मौजूद क्वेरियों में अतिरिक्त SQL क्वेरियां जोड़ने की क्षमता उत्पन्न होती है, जिसका उपयोग डेटाबेस से संवेदनशील जानकारी निकालने के लिए किया जा सकता है। दोहन (exploitation) के लिए Custom Content Types मॉड्यूल को कम से कम एक CCT को सार्वजनिक REST GET एंडपॉइंट के साथ कॉन्फ़िगर करके सक्रिय करना आवश्यक है।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.