CVE-2026-16809

Podatność deserializacji w LimeSurvey przed wersją 6.15.0+250623 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze.

LimeSurvey Community Edition 7.0.5 zawiera podatność na nieprawidłową autoryzację w punkcie końcowym tworzenia wpisów menu ankiety. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu ustawień globalnych może bezpośrednio wywołać POST /index.php/admin/menuentries/sa/create i tworzyć nowe wpisy menu bez wymaganego uprawnienia settings:update. Atakujący może również przesłać identyfikatory menu, które normalny interfejs ogranicza dla nie-superadministratorów, co umożliwia nieautoryzowane zmiany w rekordach nawigacji administracyjnej.

LimeSurvey Community Edition 7.0.5 zawiera podatność na przechowywany atak XSS w oknie dialogowym pól zastępczych używanym przez administratora edytora pytań. Problem dotyczy wersji 7.0.5.

LimeSurvey Community Edition 7.0.5+260623 zawiera uwierzytelnioną, odbitą podatność Cross-Site Scripting w punkcie końcowym potwierdzania aktywacji użytkownika. Parametr 'action' jest kopiowany do odpowiedzi i wstawiany do atrybutu ukrytego pola bez kodowania atrybutów HTML.

LimeSurvey Community Edition 7.0.5 zawiera podatność na trwały cross-site scripting (XSS) w panelu administracyjnym Survey Menu Entries. Uwierzytelniony użytkownik z uprawnieniem global settings:read może utworzyć wpis menu ankiety zawierający dane kontrolowane przez atakującego. Wartość jest przechowywana w polu surveymenu_entries.data i później wstawiana do atrybutu title w pojedynczych cudzysłowach bez odpowiedniego kodowania.

LimeSurvey Community Edition 7.0.5 zawiera podatność na wstrzykiwanie SQL w przepływie pracy Centralnej Bazy Uczestników (CPDB), która kopiuje tokeny uczestników ankiety do centralnej listy uczestników. Podatność wymaga uwierzytelnienia.

LimeSurvey Community Edition 7.0.5 zawiera uwierzytelnioną, odzwierciedloną podatność na cross-site scripting w punkcie końcowym edytora HTML. Parametry text i name są przepuszczane przez sanityzator czarnej listy, a następnie renderowane bez odpowiedniego kodowania wyjścia zależnego od kontekstu.

LimeSurvey do wersji 6.17.10 i 7.0.4 zawiera podatność SSRF w REST API endpointzie szablonów ankiet. Uwierzytelnieni użytkownicy mogą manipulować nagłówkiem Host, powodując wysyłanie przez serwer dowolnych żądań HTTP, co umożliwia dostęp do wewnętrznych usług sieciowych i punktów metadanych chmury.

Podatność SQL Injection w LimeSurvey w metodach API RemoteControl (invite_participants i remind_participants). Atakujący z uprawnieniami tokens/update może wstrzyknąć zapytania SQL przez niesparametryzowane dane wejściowe. Przy włączonym RPCInterface i emulowanych prepared statements możliwe jest odczytanie haseł administratora i innych danych oraz modyfikacja bazy danych.

LimeSurvey konstruuje linki do resetowania hasła na podstawie nagłówka HTTP Host dostarczonego przez klienta bez jego walidacji. Opcjonalna lista dozwolonych hostów (allowedHosts) jest niezdefiniowana w domyślnej (i udokumentowanej) konfiguracji, więc LSHttpRequest::checkIsAllowedHost() nie wykonuje żadnej operacji. Zdalny, nieuwierzytelniony atakujący, który wyśle żądanie zapomnianego hasła dla znanego konta (wymagające tylko nazwy użytkownika i e-maila ofiary) ze sfałszowanym nagłówkiem Host, powoduje, że LimeSurvey wysyła e-mailem link resetujący, którego host jest kontrolowany przez atakującego, a który zawiera prawdziwy klucz weryfikacyjny. Gdy odbiorca lub automatyczny skaner linków w zabezpieczeniach poczty kliknie link, prawidłowy token resetu zostaje ujawniony atakującemu, który może go użyć wobec legalnego hosta, aby ustawić nowe hasło i przejąć konto.