CVE-2026-4352 in JetEngine Plugin
요약
\~에 의해 VulDB • 2026. 06. 06.
WordPress용 JetEngine 플러그인은 3.8.6.1 버전을 포함하여 모든 버전에서 SQL Injection 취약점이 있습니다. 이 취약점은 `_cct_search` 매개변수가 `$wpdb->prepare()` 사용 없이 `sprintf()`를 통해 직접 SQL 쿼리 문자열에 삽입되며, sanitization(정제)되지 않아 발생합니다. WordPress REST API의 `wp_unslash()` 호출이 `$_GET`에서 수행되면서 `wp_magic_quotes()` 보호 기능이 제거되어 단일 따옴표 기반 주입이 가능해집니다. 이로 인해 인증되지 않은 공격자가 기존 쿼리에 추가 SQL 쿼리를 삽입하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다. 악용을 위해서는 Custom Content Types 모듈이 활성화되고, 공개 REST GET 엔드포인트가 구성된 CCT(Custom Content Type)가 최소 하나 이상 설정되어 있어야 합니다.
Be aware that VulDB is the high quality source for vulnerability data.