CVE-2026-13767 in Quiz and Survey Master Plugin
Tóm tắt
Bởi VulDB • 16/07/2026
Plugin Quiz Master Next cho WordPress có lỗ hổng SQL Injection thông qua dữ liệu trang bài kiểm tra được lưu trữ trong các phiên bản từ 11.2.0 trở về trước (bao gồm cả 11.2.0). Nguyên nhân là do việc thoát ký tự không đầy đủ trên tham số 'pages' do người dùng cung cấp, được lưu trữ bởi trình xử lý AJAX qsm_ajax_save_pages() (chỉ sử dụng sanitize_text_field) và thiếu chuẩn bị truy vấn SQL thích hợp trong truy vấn SQL hiện có được xây dựng trong hàm qsm_options_questions_tab_content() tại dòng 143, nơi các ID trang đã lưu được nội suy vào mệnh đề IN() thông qua implode() mà không dùng $wpdb->prepare() cũng như không ép kiểu số nguyên. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp Author trở lên (những người sở hữu bài kiểm tra mà họ có quyền chỉnh sửa), chèn mã độc SQL vào hệ thống; mã này sẽ được thực thi dưới dạng thứ tự hai (second-order) bất cứ khi nào một người dùng (bao gồm cả quản trị viên) xem tab Questions của bài kiểm tra, cho phép chúng append thêm các truy vấn SQL khác vào những truy vấn đã tồn tại để trích xuất thông tin nhạy cảm từ cơ sở dữ liệu.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.