CVE-2026-15963
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.2.1 jest podatna na ogólną iniekcję SQL przez opcję 'randon_category'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.
Ocena ryzyka
Organizacja może być narażona na wyciek danych z bazy danych WordPressa. Atakujący z niskimi uprawnieniami mogą uzyskać dostęp do poufnych informacji.
Rekomendacja
Zaktualizuj wtyczkę Quiz and Survey Master do najnowszej wersji. Ogranicz uprawnienia kont i monitoruj aktywność bazy danych.
Inne podatności w Quiz and Survey Master
Zobacz wszystkie- CVE-2026-97289Wysokie
Wtyczka Quiz And Survey Master w wersjach do 11.2.6 włącznie zawiera podatność typu Cross Site Scripting (XSS), którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-65454Wysokie
Wtyczka Quiz And Survey Master w wersji do 11.2.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych poprzez specjalnie spreparowane dane wejściowe.
- CVE-2026-62140Średnie
Wtyczka Quiz And Survey Master w wersjach do 11.2.5 włącznie zawiera podatność typu Insecure Direct Object References (IDOR), którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na dostęp do obiektów, do których użytkownik nie powinien mieć uprawnień.
- CVE-2026-14826Niskie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu na trasach REST, które zwracają konfigurację powiadomień e-mail i strony wyników quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na odczyt konfiguracji, w tym adresów odbiorców powiadomień, quizów utworzonych przez innych użytkowników.
- CVE-2026-14825Niskie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu przed zapisaniem ustawień tekstu frontendu quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na modyfikowanie ustawień tekstowych quizów utworzonych przez innych użytkowników.
- CVE-2026-11780Średnie
Wtyczka Quiz and Survey Master dla WordPressa do wersji 11.2.1 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'question_title' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-48867Wysokie
W wersjach Quiz And Survey Master <= 11.1.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników.
- CVE-2026-40787Wysokie
W wersjach Quiz And Survey Master <= 11.0.0 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-6448Średnie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.1.2 włącznie jest podatna na czasową ślepą iniekcję SQL przez parametr 'order'. Uwierzytelniony atakujący z uprawnieniami administratora może dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.
- CVE-2025-9637Średnie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku kontroli uprawnień i statusu w wielu funkcjach we wszystkich wersjach do 10.3.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie szczegółów nieopublikowanych, prywatnych lub chronionych hasłem quizów oraz przesyłanie odpowiedzi plikowych na pytania z tych quizów, co pozwala na przesyłanie plików.
Oryginalny opis (angielski, źródło NVD)
The Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker plugin for WordPress is vulnerable to generic SQL Injection via 'randon_category' Quiz Option in all versions up to, and including, 11.2.1 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with custom-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS