CVE-2026-42774: Injeção de SQL no Crocoblock JetEngine

Visão geral

A CVE-2026-42774 é uma vulnerabilidade de injeção de SQL classificada como CWE-89 no Crocoblock JetEngine, cuja referência da Patchstack está catalogada como plugin do WordPress. O registro foi publicado em 2026-05-25, tendo a Patchstack (audit@patchstack.com) como CNA, e seu status de fonte aparece como Deferred.

Impacto

A Patchstack atribui pontuação 9.3 pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L, e o registro classifica a falha como crítica.
Pela leitura do vetor, a falha é alcançável pela rede, com baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade e escopo alterado. Essa interpretação é uma inferência nossa a partir do vetor, não uma afirmação das fontes.
Uma injeção de SQL pode permitir a leitura ou alteração de dados tratados pelo banco, e o impacto prático depende de como o plugin está implantado.

Produtos e versões afetadas

Produto: JetEngine, da Crocoblock.
Intervalo afetado informado no registro: de n/a até 3.8.8.1. O limite inferior não é especificado.
As listas estruturadas de versões afetadas e de correções no registro estão vazias, portanto nenhuma versão corrigida é confirmada.

Situação de exploração

O registro indica kev.listed como falso, ou seja, a CVE não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A probabilidade EPSS é 0.004 (cerca de 0,4%), no percentil 32, com a data informada no registro de 2026-10-13.

Correção e mitigação

O registro não identifica uma versão corrigida. Consulte o aviso da Patchstack e as notas de versão do fornecedor em busca de uma release do JetEngine posterior à 3.8.8.1, e atualize somente quando a correção estiver confirmada.
Enquanto isso, faça o inventário de todos os sites que usam o JetEngine e restrinja a exposição dos recursos afetados a usuários de confiança.
Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação, o que limita o dano de uma injeção bem-sucedida.
Considere filtragem na camada de firewall de aplicação web como controle compensatório temporário, validando antes em ambiente de teste.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns a funcionalidades do JetEngine e de valores inesperados em parâmetros.
Observe erros de banco de dados que mencionem sintaxe SQL nas respostas ou nos logs, o que pode indicar sondagens.
Monitore alterações inesperadas no conteúdo do banco ou acessos volumosos e atípicos feitos pela conta da aplicação web.

Limitações das informações disponíveis

O limite inferior do intervalo afetado consta apenas como n/a.
Não há versão corrigida, correção ou dados estruturados de produtos afetados no registro.
O registro não inclui detalhes de análise do NVD, e a única referência do lado do fornecedor é a página da Patchstack.
A situação de exploração se limita ao que a listagem KEV e as fontes consultadas mostram.

Perguntas frequentes

A CVE-2026-42774 está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Quais versões do JetEngine são afetadas?

O registro informa o intervalo de n/a até 3.8.8.1. O limite inferior não é especificado, então consulte o aviso da Patchstack para mais detalhes.

Existe uma versão corrigida disponível?

O registro não lista versão corrigida. Consulte o aviso da Patchstack e as notas de versão do fornecedor e atualize somente quando a correção estiver confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.