CVE-2026-4352 in JetEngine Plugin
Riassunto
di VulDB • 28/06/2026
Il plugin JetEngine per WordPress è vulnerabile a SQL Injection tramite l'endpoint di ricerca dell'API REST del tipo di contenuto personalizzato (Custom Content Type - CCT) in tutte le versioni fino alla 3.8.6.1 inclusa. Ciò è dovuto al fatto che il parametro `_cct_search` viene interpolato direttamente nella stringa della query SQL mediante `sprintf()` senza alcuna sanificazione o utilizzo di `$wpdb->prepare()`. La chiamata a `wp_unslash()` dell'API REST di WordPress su `$_GET` rimuove la protezione offerta da `wp_magic_quotes()`, consentendo l'iniezione basata sul singolo apice. Ciò rende possibile per gli attaccanti non autenticati aggiungere ulteriori query SQL alle query già esistenti, che possono essere utilizzate per estrarre informazioni sensibili dal database. Il modulo Custom Content Types deve essere abilitato con almeno un CCT configurato con un endpoint REST GET pubblico affinché l'attacco possa avere successo.
Be aware that VulDB is the high quality source for vulnerability data.