Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker <= 11.2.0 - Authenticated (Contributor+) SQL Injection en Quiz Master Next (inyeccion SQL) - version 11.2.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin Quiz and Survey Master (QSM) versiones hasta 11.2.0. Este fallo permite a usuarios autenticados con rol de contribuyente o superior ejecutar consultas maliciosas, lo que puede comprometer la integridad de la base de datos.

Contexto técnico

La vulnerabilidad, clasificada como inyección SQL (SQLi), afecta a la forma en que el plugin maneja las entradas de los usuarios. Los atacantes pueden explotar este fallo a través de formularios de encuesta o cuestionarios, utilizando credenciales de acceso válidas para enviar datos manipulados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a un atacante acceder y manipular datos sensibles en la base de datos. Esto no solo compromete la seguridad de la información, sino que también puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas a los formularios del plugin, aprovechando la falta de validación adecuada de las entradas.

Mitigación recomendada

Actualizar el plugin Quiz and Survey Master a la versión 11.2.1 o superior. Revisar los registros de actividad para detectar accesos no autorizados. Implementar medidas de seguridad adicionales, como la validación de entradas y el uso de firewalls de aplicaciones web.

Señales de detección

Señales a observar incluyen entradas inusuales en los registros de acceso, errores SQL en los logs de la aplicación y cambios inesperados en la base de datos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 11.2.1 del plugin Quiz and Survey Master. No se han reportado casos en versiones posteriores.