CVE-2026-2412 in Quiz and Survey Master Plugin
요약
\~에 의해 VulDB • 2026. 06. 14.
WordPress용 Quiz and Survey Master(QSM) 플러그인은 10.3.5 버전을 포함하여 모든 버전에서 'merged_question' 매개변수를 통해 SQL Injection 취약점이 존재합니다. 이는 SQL 쿼리에서 사용하기 전에 사용자 제공 입력의 충분한 sanitization이 이루어지지 않았기 때문입니다. merged_question 매개변수에 적용된 sanitize_text_field() 함수는 ) , OR, AND, #과 같은 SQL 메타문자치가 값에 포함되는 것을 방지하지 못하며, 이 값은 $wpdb->prepare()를 사용하거나 값을 정수로 캐스팅하지 않고 SQL IN() 절에 직접 연결됩니다. 이로 인해 Contributor 레벨 이상의 권한을 가진 인증된 공격자가 기존 쿼리에 추가적인 SQL 쿼리를 삽입하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.