CVE-2025-9637
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku kontroli uprawnień i statusu w wielu funkcjach we wszystkich wersjach do 10.3.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie szczegółów nieopublikowanych, prywatnych lub chronionych hasłem quizów oraz przesyłanie odpowiedzi plikowych na pytania z tych quizów, co pozwala na przesyłanie plików.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do poufnych treści quizów oraz możliwość przesyłania złośliwych plików, co może prowadzić do naruszenia bezpieczeństwa danych i systemu.
Rekomendacja
Zaleca się aktualizację wtyczki QSM do najnowszej wersji oraz wdrożenie odpowiednich kontroli dostępu i walidacji plików.
Inne podatności w Quiz and Survey Master
Zobacz wszystkie- CVE-2026-97289Wysokie
Wtyczka Quiz And Survey Master w wersjach do 11.2.6 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-65454Wysokie
Wtyczka Quiz And Survey Master w wersji do 11.2.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych poprzez specjalnie spreparowane dane wejściowe.
- CVE-2026-62140Średnie
Wtyczka Quiz And Survey Master w wersjach do 11.2.5 włącznie zawiera podatność typu Insecure Direct Object References (IDOR), którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na dostęp do obiektów, do których użytkownik nie powinien mieć uprawnień.
- CVE-2026-14826Niskie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu na trasach REST, które zwracają konfigurację powiadomień e-mail i strony wyników quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na odczyt konfiguracji, w tym adresów odbiorców powiadomień, quizów utworzonych przez innych użytkowników.
- CVE-2026-14825Niskie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu przed zapisaniem ustawień tekstu frontendu quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na modyfikowanie ustawień tekstowych quizów utworzonych przez innych użytkowników.
- CVE-2026-15963Średnie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.2.1 jest podatna na ogólną iniekcję SQL przez opcję 'randon_category'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.
- CVE-2026-11780Średnie
Wtyczka Quiz and Survey Master dla WordPressa do wersji 11.2.1 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'question_title' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-48867Wysokie
W wersjach Quiz And Survey Master <= 11.1.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników.
- CVE-2026-40787Wysokie
W wersjach Quiz And Survey Master <= 11.0.0 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-6448Średnie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.1.2 włącznie jest podatna na czasową ślepą iniekcję SQL przez parametr 'order'. Uwierzytelniony atakujący z uprawnieniami administratora może dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.
Oryginalny opis (angielski, źródło NVD)
The Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker plugin for WordPress is vulnerable to unauthorized access and modification of data due to a missing capability and status checks on multiple functions in all versions up to, and including, 10.3.1. This makes it possible for unauthenticated attackers to view the details of unpublished, private, or password-protected quizzes, as well as submit file responses to questions from those quizzes, which allow file upload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS