CVE-2026-4352 in JetEngine Plugin
要約
〜によって VulDB • 2026年06月06日
WordPress用プラグイン「JetEngine」は、バージョン3.8.6.1を含むすべてのバージョンにおいて、Custom Content Type (CCT) REST APIの検索エンドポイント経由でSQL Injection脆弱性に起因します。これは、`_cct_search`パラメータが`sprintf()`を介して直接SQLクエリ文字列に挿入され、サニタイズ処理や`$wpdb->prepare()`の使用が行われていないためです。WordPress REST APIの`$_GET`に対する`wp_unslash()`呼び出しは`wp_magic_quotes()`による保護を取り除き、シングルクォートベースのインジェクションを可能にします。これにより、認証されていない攻撃者は既存のクエリに追加のSQLクエリを追加し、データベースから機密情報を抽出することが可能です。悪用には、Custom Content Typesモジュールが有効化され、少なくとも1つのCCTで公開REST GETエンドポイントが設定されている必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.