Plugin WordPress JetEngine <= 3.7.2 - Vulnerabilidade de Execução Remota de Código (RCE)

A exploração bem-sucedida desta vulnerabilidade permite a um atacante executar código arbitrário no servidor WordPress com os privilégios do usuário do WordPress que executa o plugin. Isso pode levar ao comprometimento total do site, incluindo roubo de dados confidenciais, modificação de conteúdo, instalação de malware e até mesmo controle total do servidor. Dada a popularidade do JetEngine e sua integração com diversos recursos do WordPress, o impacto pode ser significativo, especialmente em sites com dados sensíveis ou que servem como plataforma para comércio eletrônico.

WordPress websites utilizing Crocoblock JetEngine, particularly those with publicly accessible file upload functionalities or those running older, unpatched versions of the plugin, are at significant risk. Shared hosting environments where multiple websites share the same server resources are also more vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "jet-engine/includes/class-jet-engine.php" . 

• wordpress / composer / npm:

wp plugin list --status=inactive | grep jetengine

• wordpress / composer / npm:

wp plugin update --all

1. 2026-03-05Disclosure

   disclosure

1. Reservado2026-02-25
2. Publicada2026-03-05
3. Modificada2026-04-28
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin JetEngine para a versão 3.8.1.2 ou superior. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere desativar temporariamente o plugin JetEngine. Como medida adicional, implemente regras de firewall de aplicação web (WAF) para bloquear solicitações suspeitas que tentem incluir código remoto. Monitore os logs do servidor WordPress em busca de atividades incomuns ou tentativas de inclusão de código.