Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker <= 11.1.2 - Unauthenticated Stored Cross-Site Scripting en Quiz Master Next (Cross-Site Scripting (XSS)) - version 11.1.3

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Quiz and Survey Master, afectando a las versiones hasta la 11.1.2. Esta falla permite la inyección de scripts maliciosos, lo que puede comprometer la seguridad del sitio y la integridad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en el plugin Quiz and Survey Master, específicamente en la capacidad de almacenar datos sin la debida validación. Esto permite a un atacante no autenticado inyectar scripts que se ejecutan en el navegador de otros usuarios, facilitando así el robo de información sensible.

Impacto potencial

El impacto en la seguridad es significativo, ya que permite a un atacante ejecutar código malicioso en el contexto de otros usuarios. Esto puede resultar en el robo de credenciales, la manipulación de datos y un daño a la reputación del sitio, afectando la confianza de los usuarios.

Vector de explotación

La explotación se lleva a cabo mediante la inyección de scripts a través de formularios o entradas de usuario que no son adecuadamente filtradas, lo que permite que el código malicioso se ejecute en el navegador de otros usuarios que acceden a las encuestas o cuestionarios afectados.

Mitigación recomendada

Actualizar el plugin Quiz and Survey Master a la versión 11.1.3 o posterior. Revisar las configuraciones de entrada y salida de datos para asegurar que se implementen medidas de validación y sanitización adecuadas. Realizar auditorías periódicas de seguridad en plugins y temas instalados para detectar vulnerabilidades potenciales.

Señales de detección

Señales de riesgo incluyen logs de actividad sospechosa, como intentos de inyección de scripts en formularios de encuestas y anomalías en el tráfico web que indiquen accesos no autorizados.

Alcance afectado

Las versiones del plugin Quiz and Survey Master hasta la 11.1.2 son vulnerables. No se han confirmado casos en versiones posteriores a la 11.1.3.