Fuente base de datos: Wordfence Intelligence

Quiz and Survey Master (QSM) <= 11.1.4 - Missing Authorization to Authenticated (Contributor+) Arbitrary Quiz Modification and Email Reroute via Leaked Nonce from /quiz/structure en Quiz Master Next (falta de autorizacion) - version 11.1.5

PLUGIN MEDIUM CVE-2026-9230

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Quiz and Survey Master (QSM) en versiones hasta 11.1.4, que permite la modificación arbitraria de cuestionarios. Este fallo puede comprometer la integridad de los datos y la seguridad del sitio, afectando su operativa.

Contexto técnico

El fallo se origina en una falta de autorización para usuarios autenticados con rol de colaborador o superior, lo que permite realizar modificaciones no autorizadas en los cuestionarios mediante un nonce filtrado en la ruta /quiz/structure.

Impacto potencial

El impacto en el negocio puede incluir la alteración de cuestionarios y encuestas, lo que puede llevar a la pérdida de confianza de los usuarios y a la manipulación de resultados. La seguridad del sitio se ve comprometida, potencialmente facilitando ataques adicionales.

Vector de explotación

La explotación se lleva a cabo mediante el uso de un nonce filtrado, permitiendo a un atacante autenticado modificar cuestionarios sin los permisos adecuados.

Mitigación recomendada

Actualizar el plugin Quiz and Survey Master a la versión 11.1.5 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y roles para asegurar que solo los usuarios autorizados puedan realizar modificaciones. Implementar medidas de seguridad adicionales, como la validación de nonces y la auditoría de cambios en cuestionarios.

Señales de detección

Revisar los logs de acceso para detectar modificaciones inusuales en cuestionarios y alertas de usuarios con permisos elevados realizando cambios no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 11.1.5 del plugin Quiz and Survey Master. No se han confirmado otros escenarios de explotación.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

quiz-master-next