CVE-2026-10623
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka PressPrimer Quiz – AI Quiz Maker, Exam Builder & LMS Assessment Plugin dla WordPress jest podatna na niebezpieczne bezpośrednie odniesienie do obiektu w wersjach do 2.3.0 włącznie, z powodu braku walidacji parametru 'rule_id'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyżej modyfikację lub usunięcie reguł quizów należących do innych nauczycieli.
Ocena ryzyka
Atakujący mogą nieautoryzowanie ingerować w strukturę quizów innych użytkowników, co może prowadzić do poważnych problemów z integralnością danych i zaufaniem do systemu edukacyjnego.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów walidacji dla parametrów użytkownika, aby zapobiec nieautoryzowanym modyfikacjom.
Powiązane podatności
- CVE-2026-109157Krytyczne
Router TRENDnet TEW-432BRP w wersji 3.10B20 zawiera podatność przepełnienia bufora na stosie w funkcji formTcpipSetup w pliku /goform/formTcpipSetup. Manipulacja argumentem Name pozwala na zdalne przeprowadzenie ataku, a exploit został publicznie ujawniony.
- CVE-2026-63354Krytyczne
Urządzenia nieprawidłowo walidują i sanityzują dane znaczników wizualnych zawarte w importowanych plikach śledzenia CSV przed wyświetleniem ich na stronie Trace. Atakujący może nakłonić uprawnionego użytkownika z prawem „Read diagnostics” do zaimportowania spreparowanego pliku.
- CVE-2026-63353Krytyczne
Urządzenia nieprawidłowo sanityzują pola komentarzy zawarte w importowanych plikach śledzenia przed wyświetleniem ich na stronie Trace. Atakujący może nakłonić uprawnionego użytkownika z prawem „Read diagnostics” do zaimportowania spreparowanego pliku.
- CVE-2026-63350Krytyczne
Urządzenia nieprawidłowo ograniczają zawartość wykonywalną zawartą w importowanych plikach śledzenia. Atakujący może nakłonić uprawnionego użytkownika z prawem „Read diagnostics” do zaimportowania spreparowanego pliku.
- CVE-2026-44415Krytyczne
Systemy nieprawidłowo ograniczają dostęp do wewnętrznych API i ścieżek dla uwierzytelnionych użytkowników. Uwierzytelniony zdalny atakujący może uzyskać dostęp do wrażliwych informacji wewnętrznych.
- CVE-2026-109110Krytyczne
Router Wavlink WL-WN592AX6 w wersji 250422 zawiera podatność w funkcji system komponentu demona wmapd. Manipulacja argumentem pozwala na wstrzyknięcie poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.
- CVE-2026-109109Krytyczne
Router Wavlink WL-WN530BE1-A w wersji 251117 zawiera podatność przepełnienia bufora na stosie w funkcji strcpy w pliku /cgi-bin/ExportAllSettings.cgi komponentu Settings Export CGI. Manipulacja argumentem HTTP_COOKIE/X-Cmd pozwala na zdalne przeprowadzenie ataku.
- CVE-2026-109108Krytyczne
Router Wavlink WL-WN530BE1-A w wersji 251117 zawiera podatność w funkcji popen w pliku /cgi-bin/uploadVpn.cgi. Manipulacja argumentem Type prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.
- CVE-2026-108971Krytyczne
W urządzeniu D-Link DCS-930L (wersja B1.08B4) wykryto podatność w funkcji mpfd_decode w pliku bootloader_region.bin komponentu Emergency HTTP Recovery Server. Manipulacja argumentem firmware prowadzi do nieprawidłowej weryfikacji podpisu kryptograficznego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-109758Krytyczne
Perforce Helix Authentication Service (HAS) w wersjach 2022.1-2025.2 zawiera domyślny token SCIM, który nie jest automatycznie zastępowany losową wartością podczas instalacji. Atakujący znający ten token może uzyskać nieautoryzowany dostęp do API SCIM i wykonywać operacje na użytkownikach i grupach. Podatność może być połączona z CVE-2026-61834, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The PressPrimer Quiz – AI Quiz Maker, Exam Builder & LMS Assessment Plugin plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 2.3.0 via the 'rule_id' parameter due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with custom-level access and above, to modify or delete quiz rules belonging to other teachers, resulting in unauthorized tampering of another user's quiz structure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS