Crocoblock JetEngine: SQL-Injection im WordPress-Plugin
Das WordPress-Plugin JetEngine von Crocoblock enthält bis und mit Version 3.9.0.1 eine SQL-Injection-Schwachstelle (CWE-89, CVE-2026-39736). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen, laut Patchstack die Rolle Contributor, kann präparierte Eingaben senden, um Datenbankinhalte zu lesen, zu ändern oder zu löschen, inklusive Benutzerdaten. Der CVSS-Wert beträgt laut CNA 8.5, die NVD-Analyse ist jedoch noch ausstehend und die Quellen weichen beim Wert voneinander ab.
Crocoblock · JetEngine
