CVE-2026-92730

Podatność deserializacji w LimeSurvey przed wersją 6.15.0+250623 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze.

LimeSurvey nie koduje bezpiecznie treści kontrolowanych przez atakującego pochodzących ze spreparowanego pliku .lss podczas wyświetlania ostrzeżeń importu. Prowadzi to do podatności XSS w interfejsie administracyjnym.

LimeSurvey Community Edition 7.0.5 zawiera podatność na nieprawidłową autoryzację w punkcie końcowym tworzenia wpisów menu ankiety. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu ustawień globalnych może bezpośrednio wywołać POST /index.php/admin/menuentries/sa/create i tworzyć nowe wpisy menu bez wymaganego uprawnienia settings:update. Atakujący może również przesłać identyfikatory menu, które normalny interfejs ogranicza dla nie-superadministratorów, co umożliwia nieautoryzowane zmiany w rekordach nawigacji administracyjnej.

LimeSurvey Community Edition 7.0.5 zawiera podatność na przechowywany atak XSS w oknie dialogowym pól zastępczych używanym przez administratora edytora pytań. Problem dotyczy wersji 7.0.5.

LimeSurvey Community Edition 7.0.5+260623 zawiera uwierzytelnioną, odbitą podatność Cross-Site Scripting w punkcie końcowym potwierdzania aktywacji użytkownika. Parametr 'action' jest kopiowany do odpowiedzi i wstawiany do atrybutu ukrytego pola bez kodowania atrybutów HTML.

LimeSurvey Community Edition 7.0.5 zawiera podatność na trwałe Cross-Site Scripting w procesie tworzenia kwot w ankiecie. Uwierzytelniony użytkownik o niskich uprawnieniach, który może tworzyć i zarządzać własnymi ankietami, może przechowywać złośliwy JavaScript w wiadomości kwoty.

LimeSurvey Community Edition 7.0.5 zawiera podatność na trwały cross-site scripting (XSS) w panelu administracyjnym Survey Menu Entries. Uwierzytelniony użytkownik z uprawnieniem global settings:read może utworzyć wpis menu ankiety zawierający dane kontrolowane przez atakującego. Wartość jest przechowywana w polu surveymenu_entries.data i później wstawiana do atrybutu title w pojedynczych cudzysłowach bez odpowiedniego kodowania.

LimeSurvey Community Edition 7.0.5 zawiera podatność na wstrzykiwanie SQL w przepływie pracy Centralnej Bazy Uczestników (CPDB), która kopiuje tokeny uczestników ankiety do centralnej listy uczestników. Podatność wymaga uwierzytelnienia.

LimeSurvey Community Edition 7.0.5 zawiera uwierzytelnioną, odzwierciedloną podatność na cross-site scripting w punkcie końcowym edytora HTML. Parametry text i name są przepuszczane przez sanityzator czarnej listy, a następnie renderowane bez odpowiedniego kodowania wyjścia zależnego od kontekstu.

LimeSurvey do wersji 6.17.10 i 7.0.4 zawiera podatność SSRF w REST API endpointzie szablonów ankiet. Uwierzytelnieni użytkownicy mogą manipulować nagłówkiem Host, powodując wysyłanie przez serwer dowolnych żądań HTTP, co umożliwia dostęp do wewnętrznych usług sieciowych i punktów metadanych chmury.