Fuente base de datos: Wordfence Intelligence

Quiz and Survey Master (QSM) <= 11.1.4 - Missing Authorization to Authenticated (Contributor+) Arbitrary Modification via qsm_insert_quiz_template AJAX Action en Quiz Master Next (falta de autorizacion) - version 11.1.5

PLUGIN MEDIUM CVE-2026-9233

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Quiz and Survey Master (QSM) hasta la versión 11.1.4, que permite modificaciones arbitrarias debido a una falta de autorización. Esta situación puede comprometer la integridad de los datos gestionados por el plugin, afectando así la operativa del sitio web.

Contexto técnico

La vulnerabilidad se manifiesta a través de la acción AJAX 'qsm_insert_quiz_template', que no valida adecuadamente los permisos de los usuarios autenticados con rol de colaborador o superior. Esto permite que un atacante con acceso legítimo pueda realizar cambios no autorizados en las plantillas de cuestionarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados modificar contenido crítico del sitio, lo que podría llevar a la manipulación de datos y a la pérdida de confianza por parte de los usuarios. Además, podría resultar en un daño reputacional para la organización.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante el envío de solicitudes AJAX que invocan la acción vulnerable sin los permisos adecuados, permitiendo modificaciones arbitrarias en las plantillas de cuestionarios.

Mitigación recomendada

Actualizar el plugin Quiz and Survey Master a la versión 11.1.5 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y asegurarse de que solo los roles adecuados tengan acceso a funciones críticas. Implementar medidas de seguridad adicionales, como la validación de nonce en las solicitudes AJAX.

Señales de detección

Señales de riesgo incluyen registros de solicitudes AJAX inusuales que intentan acceder a 'qsm_insert_quiz_template' sin la autorización adecuada, así como cambios inesperados en las configuraciones de cuestionarios.

Alcance afectado

Las versiones afectadas son Quiz and Survey Master hasta la 11.1.4. No se han confirmado casos de explotación en versiones posteriores a la 11.1.5.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

quiz-master-next