Критическая SQL-инъекция в WordPress-плагине JetEngine (CVE-2026-49076)
В плагине JetEngine для WordPress обнаружена критическая уязвимость SQL-инъекции (CVE-2026-49076), затрагивающая версии до 3.8.9.1 включительно. Эксплуатация позволяет проводить слепые SQL-инъекции и потенциально получить доступ к данным сайта. Оценка критичности — 9.3 (CRITICAL).
Введение
В каталоге CVE опубликована информация о критической уязвимости в популярном WordPress-плагине JetEngine от компании Crocoblock. Проблема связана с некорректной нейтрализацией специальных элементов, используемых в SQL-командах, что открывает возможность для атак типа «слепая SQL-инъекция» (Blind SQL Injection). Учитывая широкое распространение JetEngine на сайтах, работающих на WordPress, риск массовых компрометаций оценивается как высокий.Подробности
Уязвимость зарегистрирована под идентификатором CVE-2026-49076 и имеет оценку CVSS 9.3, что соответствует критическому уровню опасности. Тип проблемы — Improper Neutralization of Special Elements used in an SQL Command (класс CWE-89, «SQL Injection»), конкретная разновидность — Blind SQL Injection. Под уязвимость попадают все версии плагина Crocoblock JetEngine, начиная с неуказанной (n/a) и заканчивая 3.8.9.1 включительно. Это означает, что сайты, использующие актуальные на момент публикации записи версии плагина без установленного патча, остаются в зоне риска. В описании CVE не приводится дополнительных деталей о векторе эксплуатации (например, о конкретных параметрах или эндпоинтах), однако сам класс уязвимости подразумевает возможность внедрения произвольных SQL-конструкций в запросы к базе данных. Слепая SQL-инъекция не позволяет атакующему напрямую увидеть результаты выполнения запроса, но даёт возможность извлекать информацию побайтово — через логические условия и анализ поведения сервера. На практике это может привести к утечке содержимого базы данных WordPress: хэшей паролей пользователей, персональных данных, токенов, настроек и иной чувствительной информации. В сочетании с критической оценкой CVSS это делает уязвимость приоритетной для устранения.Что делать
Основная рекомендация — как можно скорее обновить плагин JetEngine до версии, в которой уязвимость устранена (выше 3.8.9.1), сразу после выпуска соответствующего патча разработчиком Crocoblock. До момента установки обновления целесообразно рассмотреть временные митигации: - Ограничить доступ к административной части сайта и к функциям плагина по IP-адресам доверенных пользователей. - Усилить мониторинг веб-сервера и СУБД: искать аномальные запросы, всплески ошибок и признаки автоматизированного перебора условий (характерный признак слепых инъекций). - Проверить наличие WAF (веб-приложения firewall) с актуальными правилами, способными блокировать SQL-инъекции, и убедиться, что защита включена для всех точек входа плагина. - Провести аудит журналов на предмет подозрительной активности за период, когда сайт работал на уязвимой версии. Важно также убедиться в актуальности резервных копий: если есть основания полагать, что эксплуатация уже имела место, потребуется восстановление из чистой копии и ротация секретов (паролей администраторов, ключей).Итог
CVE-2026-49076 — критическая уязвимость SQL-инъекции в WordPress-плагине JetEngine, затрагивающая версии вплоть до 3.8.9.1. Владельцам сайтов на WordPress, использующим этот плагин, следует немедленно проверить версию, спланировать обновление и принять компенсирующие меры до выхода патча. Промедление повышает риск утечки данных и компрометации ресурса.Источник: CVE Project (cvelistV5)