Cette page n'a pas encore été traduite dans votre langue. Affichage du contenu en anglais pendant que nous y travaillons.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

HIGHCVE-2026-32355CVSS 7.5

CVE-2026-32355: PHP Object Injection in JetEngine

traduction en cours…

Plateforme

wordpress

Composant

jet-engine

Corrigé dans

3.8.4.1

Traduction vers votre langue…

CVE-2026-32355 describes a PHP Object Injection vulnerability affecting the JetEngine plugin for WordPress. This vulnerability allows authenticated attackers with Contributor-level access or higher to inject a PHP Object into the system. While the JetEngine plugin itself lacks a known PHP Object Poisoning (POP) chain, the vulnerability's impact significantly increases if other plugins or themes on the WordPress site contain such a chain, potentially leading to remote code execution.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

Impact et Scénarios d'Attaquetraduction en cours…

The core risk lies in the potential for Remote Code Execution (RCE). While CVE-2026-32355 doesn't directly enable RCE, it provides the entry point for an attacker to inject malicious code. If another plugin or theme on the WordPress site is vulnerable to PHP Object Poisoning (POP), the injected object can be exploited to trigger the POP chain, granting the attacker control over the server. This could lead to data breaches, website defacement, malware installation, and complete system compromise. The blast radius extends to any sensitive data stored on the WordPress site, including user credentials, customer information, and financial data.

Contexte d'Exploitationtraduction en cours…

CVE-2026-32355 was published on February 14, 2026. Its severity is currently assessed as HIGH (CVSS 7.5). No public Proof-of-Concept (POC) exploits have been publicly disclosed as of this writing. The vulnerability's exploitation depends on the presence of a POP chain in other installed plugins or themes, which introduces a dependency and potentially limits immediate exploitation. No known active campaigns targeting this specific vulnerability have been reported.

Renseignement sur les Menaces

Statut de l'Exploit

Preuve de ConceptInconnu
CISA KEVNO
Exposition InternetÉlevée

EPSS

0.05% (percentile 17%)

Vecteur CVSS

RENSEIGNEMENT SUR LES MENACES· CVSS 3.1CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H7.5HIGHAttack VectorNetworkComment l'attaquant atteint la cibleAttack ComplexityHighConditions requises pour exploiterPrivileges RequiredLowNiveau d'authentification requisUser InteractionNoneSi une action de la victime est requiseScopeUnchangedImpact au-delà du composant affectéConfidentialityHighRisque d'exposition de données sensiblesIntegrityHighRisque de modification non autorisée de donnéesAvailabilityHighRisque d'interruption de servicenextguardhq.com · Score de base CVSS v3.1
Que signifient ces métriques?
Attack Vector
Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
Attack Complexity
Élevée — nécessite une condition de course, configuration non standard ou circonstances spécifiques.
Privileges Required
Faible — tout compte utilisateur valide est suffisant.
User Interaction
Aucune — attaque automatique et silencieuse. La victime ne fait rien.
Scope
Inchangé — impact limité au composant vulnérable.
Confidentiality
Élevé — perte totale de confidentialité. L'attaquant peut lire toutes les données.
Integrity
Élevé — l'attaquant peut écrire, modifier ou supprimer toutes les données.
Availability
Élevé — panne complète ou épuisement des ressources. Déni de service total.

Logiciel Affecté

Composantjet-engine
Fournisseurwordfence
Version maximale3.8.4.1
Corrigé dans3.8.4.1

Classification de Faiblesse (CWE)

Chronologie

  1. Réservé
  2. Publiée
  3. Modifiée
  4. EPSS mis à jour

Mitigation et Contournementstraduction en cours…

The primary mitigation is to immediately upgrade JetEngine to version 3.8.4.1 or later. If upgrading is not feasible due to compatibility issues or breaking changes, consider temporarily disabling the JetEngine plugin as a workaround. Web Application Firewalls (WAFs) configured to detect and block deserialization of untrusted input can provide an additional layer of protection. Monitor WordPress logs for suspicious deserialization attempts, specifically targeting JetEngine functionality. Regularly scan WordPress plugins and themes for known vulnerabilities using a reputable security scanner.

Comment corrigertraduction en cours…

Update to version 3.8.4.1, or a newer patched version

Questions fréquentestraduction en cours…

What is CVE-2026-32355 — PHP Object Injection in JetEngine?

CVE-2026-32355 is a HIGH severity vulnerability in the JetEngine WordPress plugin allowing authenticated attackers to inject PHP Objects. Exploitation requires a PHP Object Poisoning (POP) chain in another plugin or theme, potentially leading to RCE.

Am I affected by CVE-2026-32355 in JetEngine?

You are affected if you are using JetEngine version 3.8.4.1 or earlier. Check your plugin version using wp plugin list and upgrade immediately if vulnerable.

How do I fix CVE-2026-32355 in JetEngine?

Upgrade JetEngine to version 3.8.4.1 or later. If upgrading is not possible, temporarily disable the plugin. Consider WAF rules to block deserialization attempts.

Is CVE-2026-32355 being actively exploited?

No active campaigns targeting CVE-2026-32355 have been publicly reported, but exploitation is possible if a POP chain exists on the system.

Where can I find the official JetEngine advisory for CVE-2026-32355?

Refer to the official JetEngine website and WordPress plugin repository for updates and security advisories related to CVE-2026-32355.

Ton projet est-il affecté ?

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

en directfree scan

Scannez votre projet WordPress maintenant — sans compte

scanZone.subtitle

Scan manuelSlack/email alertsContinuous monitoringWhite-label reports

Glissez-déposez votre fichier de dépendances

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...

CVE-2026-32355 — Vulnerability Details | NextGuard