CVE-2026-12360
Açıklama
WordPress için geliştirilen JetEngine eklentisi, 3.8.10.1 sürümü dahil tüm önceki sürümlerde SQL injection zafiyetine sahiptir. listing_load_more AJAX işleyicisi, ön uç filtre entegrasyonunu desteklemek amacıyla kasıtlı olarak HMAC sorgu imzası kontrolünün dışında tutulan bir filtered_query parametresi kabul eder. Ancak, filtered_query içerisindeki meta_query satır değerleri, SQL oluşturma işlemine dahil edilmeden önce temizlenmemektedir. Bu durum, kimliği doğrulanmamış saldırganların herhangi bir genel Listing Grid sayfasından yakalanan Load More AJAX isteğine kötü amaçlı bir meta_query değeri ekleyerek zaman tabanlı veya boolean kör SQL injection gerçekleştirmesini mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Crocoblock JetEngine | v ≤ 3.8.10.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.