Quiz and Survey Master (QSM) <= 11.2.0 - Authenticated (Custom+) SQL Injection via 'pages' Parameter en Quiz Master Next (inyeccion SQL) - version 11.2.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Quiz and Survey Master (QSM) en versiones hasta la 11.2.0. Esta falla puede ser explotada por usuarios autenticados, lo que podría comprometer la integridad de la base de datos y afectar el funcionamiento del sitio.

Contexto técnico

El fallo se presenta a través del parámetro 'pages', permitiendo a un atacante realizar consultas SQL maliciosas. La vulnerabilidad afecta a la superficie de ataque del plugin, donde se requiere autenticación para explotar el fallo.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante obtener acceso no autorizado a datos sensibles, lo que podría resultar en la pérdida de información y daños a la reputación del negocio. La severidad se clasifica como media, con un CVSS de 6.5.

Vector de explotación

La inyección SQL se lleva a cabo mediante el envío de solicitudes manipuladas a través del parámetro 'pages', una vez que el atacante ha iniciado sesión como usuario autorizado.

Mitigación recomendada

Actualizar el plugin Quiz and Survey Master a la versión 11.2.1 o superior. Revisar los registros de actividad para detectar accesos inusuales por parte de usuarios autenticados. Implementar medidas de seguridad adicionales, como la limitación de privilegios de usuario y la validación de entradas.

Señales de detección

Señales a observar incluyen: intentos de acceso no autorizados, cambios inusuales en la base de datos y registros de errores relacionados con consultas SQL.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Quiz and Survey Master hasta la 11.2.0. No se ha confirmado la afectación en versiones posteriores a la 11.2.1.