SQL Injection w wtyczce Quiz and Survey Master dla WordPress (CVE-2026-2412)

Co wiadomo

Wtyczka Quiz and Survey Master (QSM) dla WordPress do wersji 10.3.5 jest podatna na atak SQL Injection poprzez parametr 'merged_question'. Niewystarczająca sanitacja danych wejściowych pozwala na wstrzyknięcie dodatkowych zapytań SQL przez użytkowników z uprawnieniami co najmniej na poziomie Współtwórcy.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do wrażliwych danych przechowywanych w bazie danych. Może to prowadzić do wycieku informacji, naruszenia integralności danych oraz potencjalnych dalszych ataków na infrastrukturę IT. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa swoich systemów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Quiz and Survey Master i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu WordPress do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych zapytań SQL. Dodatkowo warto przeprowadzić audyt uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference