JetEngine: SQL-Injection in WordPress-Plugin

Zusammenfassung

Das WordPress-Plugin JetEngine von Crocoblock bis und mit Version 3.9.0 enthält eine SQL-Injection-Schwachstelle (CVE-2026-115608). Ein Angreifer mit niedrigen Berechtigungen kann präparierte Eingaben an eine Datenbankabfrage senden, wodurch Datenbankinhalte gelesen, verändert oder gelöscht werden können, einschliesslich Benutzerkonten und privater Daten. Patchstack, das CNA, nennt 3.9.0.1 als korrigierte Version, und eine Ausnutzung in freier Wildbahn ist nicht bestätigt.

Betroffen

• Crocoblock JetEngine-Plugin für WordPress, Versionen bis und mit 3.9.0

Behoben in

• Auf Version 3.9.0.1 oder neuer aktualisieren (laut Patchstack, dem CNA).
• Die Korrektur im Plugin-Changelog überprüfen; es wurde keine Advisory von Crocoblock gefunden.
• Ein nicht verifizierter Aggregator-Bericht zu einer verwandten CVE (CVE-2026-39736) nennt 3.9.0.2 als Korrektur, daher nach der neuesten Version suchen.

Umgehung

• Keine vom Hersteller dokumentierte Umgehungslösung gefunden.
• Patchstack empfiehlt die Aktualisierung; ist dies nicht möglich, den Hosting-Anbieter oder den Webentwickler um Unterstützung bitten.

Ausnutzung

• Nicht als bereits ausgenutzt gekennzeichnet.
• Patchstack stuft die Schwachstelle als Low Priority ein und hält eine Ausnutzung für unwahrscheinlich, was im Widerspruch zum CVSS-Wert 8.5 steht.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Ein öffentlicher PoC-Eintrag existiert, konnte aber nicht verifiziert werden.

Unsere Empfehlung

• Prüfen, ob JetEngine installiert ist und welche Version läuft.
• Auf die neueste verfügbare Version, mindestens 3.9.0.1, aktualisieren.
• Vor der Aktualisierung ein Backup erstellen.
• Administrator-, Redaktions- und Entwicklerkonten prüfen und nicht benötigte entfernen.
• Nach unerwarteten Administratoren oder Datenbankänderungen suchen.
• Falls die Aktualisierung warten muss, die Anmeldung mit Redaktions- oder Entwicklerrechten einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• VulDB vuldb.com
• OffSeq radar.offseq.com
• HOL Guard hol.org
• Strix AI www.strix.ai
• OpenCVE app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:06.