CVE-2026-14824
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.2 nieprawidłowo escapuje ustawienie pytania przed wypisaniem go do niecytowanego atrybutu HTML. Umożliwia to użytkownikom z poziomem contributor i wyżej wstrzyknięcie dowolnego JavaScript, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty quiz.
Ocena ryzyka
Ryzyko wykonania złośliwego skryptu w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Quiz and Survey Master do wersji 11.2.2 lub nowszej, która zawiera poprawkę.
Inne podatności w Quiz and Survey Master WordPress plugin
Zobacz wszystkie- CVE-2026-79615Niskie
Wtyczka WordPress Quiz and Survey Master (QSM) przed wersją 11.2.4 nie sprawdza autoryzacji przy zwracaniu wpisów z banku pytań przez jedną z tras REST API. Użytkownicy z rolą co najmniej Contributor mogą odczytywać pytania, wskazówki i klucze odpowiedzi quizów należących do innych użytkowników.
- CVE-2023-3575Średnie
Wtyczka Quiz And Survey Master dla WordPressa przed wersją 8.1.11 nieprawidłowo sanitizuje i ucieka tytuły pytań, co może umożliwić użytkownikom z rolą Contributora i wyżej przeprowadzenie ataków typu Stored Cross-Site Scripting.
Oryginalny opis (angielski, źródło NVD)
The Quiz and Survey Master (QSM) WordPress plugin before 11.2.2 does not properly escape a question setting before outputting it into an unquoted HTML attribute, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes in the browser of any user viewing the affected quiz.