CVE-2025-9294
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker dla WordPressa jest podatna na nieautoryzowaną utratę danych z powodu braku sprawdzenia uprawnień w funkcji qsm_dashboard_delete_result. Podatność dotyczy wszystkich wersji do 10.3.1 włącznie.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta lub wyższym mogą usuwać wyniki quizów, co może prowadzić do utraty ważnych danych i zakłócenia działania funkcji ankiety.
Rekomendacja
Zaktualizuj wtyczkę Quiz and Survey Master do wersji, która zawiera poprawkę zabezpieczeń. Ogranicz dostęp do funkcji administracyjnych i regularnie sprawdzaj uprawnienia użytkowników.
Inne podatności w Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker
Zobacz wszystkie- CVE-2026-9230Średnie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.1.4 włącznie zawiera podatność na ominięcie autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie współautora lub wyższym może modyfikować quizy, nadpisywać strony wyników oraz przekierowywać powiadomienia e-mail na kontrolowane przez siebie adresy.
- CVE-2026-9233Średnie
Wtyczka Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 11.1.4 włącznie. Podatność wynika z niewłaściwego weryfikowania uprawnień użytkownika przed wykonaniem akcji, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na tworzenie, modyfikowanie i usuwanie szablonów wyników quizów w tabeli bazy danych mlw_quiz_output_templates, w tym przechowywanie niesanityzowanego kodu HTML, takiego jak dowolne znaczniki skryptów.
Oryginalny opis (angielski, źródło NVD)
The Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker plugin for WordPress is vulnerable to unauthorized loss of data due to a missing capability check on the qsm_dashboard_delete_result function in all versions up to, and including, 10.3.1. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete quiz results.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS