CVE-2026-6448

W wtyczce ExpressTech Quiz And Survey Master (quiz-master-next) występuje podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 11.2.7 włącznie.

Wtyczka Quiz And Survey Master (ExpressTech) zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność dotyczy wersji od n/a do 11.2.7.

Podatność na deserializację niezaufanych danych w wtyczce Quiz And Survey Master dla WordPressa, umożliwiająca wstrzyknięcie obiektów (Object Injection).

Podatność typu Stored XSS w wtyczce Quiz And Survey Master od ExpressTech. Nieprawidłowa neutralizacja danych wejściowych podczas generowania strony umożliwia trwałe wykonanie złośliwego skryptu.

Wtyczka Quiz And Survey Master (quiz-master-next) do WordPressa zawiera podatność typu DOM-Based Cross-site Scripting wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem występuje w wersjach do 11.2.6 włącznie.

Wtyczka Quiz And Survey Master w wersjach do 11.2.5 włącznie zawiera podatność typu Insecure Direct Object References (IDOR), którą może wykorzystać nieuwierzytelniony atakujący. Pozwala to na dostęp do obiektów, do których użytkownik nie powinien mieć uprawnień.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu na trasach REST, które zwracają konfigurację powiadomień e-mail i strony wyników quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na odczyt konfiguracji, w tym adresów odbiorców powiadomień, quizów utworzonych przez innych użytkowników.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu przed zapisaniem ustawień tekstu frontendu quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na modyfikowanie ustawień tekstowych quizów utworzonych przez innych użytkowników.

Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.2.1 jest podatna na ogólną iniekcję SQL przez opcję 'randon_category'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.

Wtyczka Quiz and Survey Master dla WordPressa do wersji 11.2.1 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'question_title' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.