CVE-2024-10574 in Quiz Maker Business, Developer, and Agency Plugin
要約
〜によって VulDB • 2026年06月16日
WordPress用プラグイン「Quiz Maker Business」、「Quiz Maker Developer」、および「Quiz Maker Agency」には、すべてのバージョン（Business版は8.8.0以下、Developer版は21.8.0以下、Agency版は31.8.0以下）において、'ays_save_google_credentials'関数で権限チェックが欠落しているため、データが不正に改変される脆弱性があります。これにより、認証されていない攻撃者がプラグインの設定内のGoogle Sheets統合認証情報を改変することが可能になります。さらに、'client_id'パラメータが出力時にサニタイズまたはエスケープされないため、この脆弱性を利用して、ユーザーが注入されたページにアクセスするたびに実行される任意のWebスクリプトをページに注入することもできます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.