CVE-2026-65454
WysokieCVSS 8.5Streszczenie
Wtyczka Quiz And Survey Master w wersji do 11.2.0 zawiera podatność na wstrzykiwanie SQL, którą może wykorzystać użytkownik z rolą kontrybutora. Atakujący może manipulować zapytaniami do bazy danych poprzez specjalnie spreparowane dane wejściowe.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych w bazie, ich modyfikację lub usunięcie, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Quiz And Survey Master do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Quiz And Survey Master
Zobacz wszystkie- CVE-2026-14826Niskie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu na trasach REST, które zwracają konfigurację powiadomień e-mail i strony wyników quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na odczyt konfiguracji, w tym adresów odbiorców powiadomień, quizów utworzonych przez innych użytkowników.
- CVE-2026-14825Niskie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu przed zapisaniem ustawień tekstu frontendu quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na modyfikowanie ustawień tekstowych quizów utworzonych przez innych użytkowników.
- CVE-2026-15963Średnie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.2.1 jest podatna na ogólną iniekcję SQL przez opcję 'randon_category'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym dołączanie dodatkowych zapytań SQL w celu wyodrębnienia wrażliwych danych.
- CVE-2026-11780Średnie
Wtyczka Quiz and Survey Master dla WordPressa do wersji 11.2.1 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'question_title' z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-48867Wysokie
W wersjach Quiz And Survey Master <= 11.1.2 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników.
- CVE-2026-40787Wysokie
W wersjach Quiz And Survey Master <= 11.0.0 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.
- CVE-2026-6448Średnie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa do wersji 11.1.2 włącznie jest podatna na czasową ślepą iniekcję SQL przez parametr 'order'. Uwierzytelniony atakujący z uprawnieniami administratora może dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.
Oryginalny opis (angielski, źródło NVD)
Contributor SQL Injection in Quiz And Survey Master <= 11.2.0 versions.