Analityczne wykorzystywanie plików cookies
Luka SQL Injection w wtyczce JetEngine dla WordPress (CVE-2026-4662)
Wtyczka JetEngine dla WordPress ma poważną lukę SQL Injection (CVE-2026-4662). Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 7.5 HIGH
- EPSS
- 24.59%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka JetEngine dla WordPress do wersji 3.8.6.1 jest podatna na atak SQL Injection poprzez akcję AJAX 'listing_load_more'. Luka wynika z braku walidacji parametru 'filtered_query' w podpisie HMAC oraz nieodpowiedniego oczyszczania operatora 'compare' w zapytaniach SQL.
Wpływ biznesowy
Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wstrzyknięcia dodatkowych zapytań SQL, co może prowadzić do wycieku poufnych danych z bazy. Zagrożenie dotyczy stron korzystających z JetEngine Listing Grid z włączoną funkcją Load More i zapytaniami SQL budowanymi dynamicznie. Może to skutkować poważnym naruszeniem bezpieczeństwa danych i utratą zaufania użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki JetEngine i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję funkcji Load More oraz monitorować logi serwera pod kątem podejrzanych zapytań SQL. Warto również przeprowadzić audyt konfiguracji i rozważyć tymczasowe wyłączenie podatnych funkcji do czasu załatania luki.