CVE-2026-56068: Injeção de SQL não autenticada no plugin JetEngine para WordPress
A CVE-2026-56068 é uma injeção de SQL não autenticada (CWE-89) no plugin JetEngine para WordPress, que afeta versões até a 3.8.10.2 inclusive. A CNA Patchstack atribuiu pontuação CVSS 3.1 de 9.3 (Crítica), mas as fontes consultadas não informam uma versão corrigida. Não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma injeção de SQL não autenticada no plugin JetEngine para WordPress, que afeta versões até a 3.8.10.2 inclusive e está classificada como CWE-89. A CNA é a audit@patchstack.com, e a principal referência é a entrada na base da Patchstack.
Impacto
- O vetor CVSS 3.1 fornecido pela CNA indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário exigidos, além de escopo alterado.
- O vetor classifica o impacto na confidencialidade como alto, na integridade como nenhum e na disponibilidade como baixo.
- Uma injeção de SQL acessível sem autenticação pode expor conteúdo do banco de dados tratado pelo plugin. Trata-se de inferência a partir da classe da vulnerabilidade, pois o registro não detalha isso.
Produtos e versões afetados
- A descrição indica o JetEngine nas versões até a 3.8.10.2 inclusive.
- A lista de produtos afetados do registro está vazia, portanto builds afetados além dessa informação não são confirmados.
- O registro não informa versão corrigida. A ausência de versão corrigida não prova que não exista correção.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE no registro, por isso não se afirma exploração ativa.
- Não há exploração confirmada nas fontes consultadas.
- A probabilidade EPSS é 0,004, com percentil de 0,32394, datada de 2026-10-13. Esses valores estimam a probabilidade de exploração e não a confirmam.
Correção e mitigação
- Identifique todos os sites que usam o JetEngine e confirme a versão instalada.
- Consulte o fornecedor ou a entrada da Patchstack para verificar uma versão corrigida e atualize assim que ela for confirmada.
- Se ainda não houver correção, considere desativar temporariamente o plugin ou restringir o acesso às funcionalidades afetadas, e revise as políticas do seu provedor de hospedagem ou do firewall de aplicação web.
- Mantenha o núcleo do WordPress, temas e plugins atualizados e remova componentes não utilizados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de mensagens de erro de banco de dados incomuns, parâmetros malformados e requisições repetidas a endpoints do JetEngine.
- Monitore alterações inesperadas no conteúdo do banco de dados e a criação de novas contas administrativas.
- Use as informações de CVSS e CWE para priorizar a análise de sites expostos à internet.
Limitações das informações disponíveis
- O registro não informa o endpoint, o parâmetro ou as pré-condições técnicas afetadas.
- O registro não contém versão corrigida, referência de correção do fornecedor ou aviso do fornecedor além da entrada da Patchstack.
- O status da fonte é Deferred e o registro não explica o motivo.
- O registro não inclui pontuação atribuída pela NVD, portanto a única pontuação disponível é o CVSS 3.1 fornecido pela CNA.
Perguntas frequentes
Quais versões do JetEngine são afetadas pela CVE-2026-56068?
A descrição indica que o problema afeta o JetEngine nas versões até a 3.8.10.2 inclusive. O registro não lista outros builds afetados.
O registro informa uma versão corrigida?
Não. O registro não informa versão corrigida, por isso convém consultar a entrada do fornecedor ou da Patchstack para verificar atualizações.
Há exploração ativa conhecida desta vulnerabilidade?
O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.