Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker < 11.1.3 - Unauthenticated User Enumeration en Quiz Master Next (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Quiz and Survey Master (QSM) que permite la enumeración de usuarios no autenticados. Esta falla de tipo bypass de autenticación puede comprometer la seguridad de los datos de los usuarios y la integridad del sistema operativo del sitio web.

Contexto técnico

La vulnerabilidad se presenta en versiones anteriores a la 11.1.3 del plugin QSM, permitiendo a un atacante no autenticado acceder a información sobre los usuarios registrados mediante consultas específicas. Esto puede facilitar ataques posteriores como phishing o fuerza bruta.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la exposición de información sensible de los usuarios, poniendo en riesgo la privacidad y la reputación de la organización. Además, puede abrir la puerta a accesos no autorizados y ataques más complejos.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes específicas al plugin, logrando así obtener información sobre los usuarios sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Quiz and Survey Master a la versión 11.1.3 o superior. Revisar los logs de acceso para detectar actividades inusuales relacionadas con la enumeración de usuarios. Implementar medidas de seguridad adicionales como limitación de intentos de inicio de sesión y autenticación multifactor.

Señales de detección

Señales de riesgo incluyen patrones de acceso inusuales en los logs, intentos repetidos de acceder a información de usuarios y cambios en la configuración del plugin.

Alcance afectado

Las versiones del plugin Quiz and Survey Master anteriores a la 11.1.3 están afectadas. No se han confirmado casos en versiones posteriores.