CVE-2026-12360: SQL-indsprøjtning i WordPress-plugin JetEngine

Sårbarheden er en SQL-indsprøjtning (CWE-89), hvor en angriber snyder databasen til at udføre kommandoer, den ikke burde. Fejlen sidder i JetEngine-pluginnet til WordPress, i funktionen listing_load_more, som henter flere resultater, når en besøgende klikker ‘indlæs mere’ på en liste over boliger, kurser eller andre poster. Funktionen bruger en parameter kaldet filtered_query, som med vilje er undtaget fra en sikkerhedstjek (HMAC-signatur), fordi den skal kunne tilpasses af forsiden. Værdier i denne parameter bliver dog ikke renset, før de sættes ind i databasekaldet. Det gør det muligt at gætte sig frem til data i databasen bit for bit, ved at sende specielt formede forespørgsler og aflæse svartider eller sand/falsk-svar.

Alle WordPress-sider med JetEngine installeret i version 3.8.10.1 eller ældre. Det gælder typisk virksomheder, der bruger JetEngine til at bygge dynamiske oversigter, for eksempel boligannoncer, kursuslister, medlemslister eller produktkataloger med et ‘indlæs mere’-filter. Er der en offentlig Listing Grid-side på hjemmesiden, er den relevant for denne sårbarhed, uanset om der kræves login for at se selve siden.

En angriber kan uden at logge ind sende manipulerede forespørgsler til hjemmesiden og trække oplysninger ud af databasen, for eksempel kundeoplysninger, brugernavne, adgangskodehash eller andre data, der ligger i samme database som WordPress. Angrebet ændrer ikke data og lukker ikke hjemmesiden ned, men det kan lække fortrolige oplysninger, hvilket i Danmark kan udløse en anmeldelsespligt efter databeskyttelsesreglerne, hvis persondata er involveret.

CVSS-scoren er 7,5 ud af 10, alvorlig. Angrebet kræver hverken login eller nogen handling fra en bruger, og det kan udføres over internettet med lav kompleksitet. Konsekvensen er begrænset til fortrolighed, altså at data kan læses, mens data ikke kan ændres eller slettes, og hjemmesiden fortsætter med at virke. Der er ingen oplysninger om, at sårbarheden aktivt bliver udnyttet, men den er offentligt beskrevet ned til parameternavn og angrebsmetode, hvilket gør den let at afprøve.

Sådan lukker I hullet, hvis jeres WordPress-side bruger JetEngine:

1. Opdatér JetEngine til den nyeste version fra WordPress-pluginarkivet eller Crocoblocks eget site, hvor sårbarheden er rettet efter version 3.8.10.1.
2. Kan opdateringen ikke ske straks, så deaktivér midlertidigt Listing Grid-funktioner med ‘indlæs mere’, eller sæt siden bag en webapplikationsfirewall, der blokerer SQL-indsprøjtningsforsøg.
3. Gennemgå server- og adgangslogs for usædvanligt mange AJAX-kald til listing_load_more, især med lange eller mistænkelige parameterværdier.
4. Skift adgangskoder for administratorer og databasebrugere, hvis I finder tegn på misbrug.
5. Vurdér, om der er lækket persondata, og om det udløser anmeldelsespligt til Datatilsynet.
6. Er I i tvivl om, hvorvidt jeres opsætning er ramt, eller om der allerede er sket misbrug, så få en ekstern gennemgang af loggene og databasen.