CVE-2026-4352 in JetEngine Plugin
Сводка
по VulDB • 06.06.2026
Плагин JetEngine для WordPress уязвим к SQL-инъекции через конечную точку поиска REST API пользовательских типов контента (Custom Content Type, CCT) во всех версиях вплоть до 3.8.6.1 включительно. Это связано с тем, что параметр `_cct_search` интерполируется непосредственно в строку SQL-запроса посредством функции `sprintf()` без санитизации или использования `$wpdb->prepare()`. Вызов `wp_unslash()` из REST API WordPress для данных `$_GET` отключает защиту `wp_magic_quotes()`, что позволяет осуществлять инъекцию на основе одинарных кавычек. Это дает возможность неаутентифицированным злоумышленникам добавлять дополнительные SQL-запросы в уже существующие запросы, которые могут быть использованы для извлечения конфиденциальной информации из базы данных. Для эксплуатации модуль Custom Content Types должен быть включен и содержать хотя бы один CCT с публичной конечной точкой REST GET.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.