CVE-2026-103917 Ejecución arbitraria de shortcodes en Quiz and Survey Master (QSM) hasta 11.2.7
El plugin permite ejecutar do_shortcode sin validar adecuadamente el valor, lo que posibilita que atacantes no autenticados ejecuten shortcodes arbitrarios. El nonce se entrega a cualquier llamador no autenticado mediante el endpoint público wp_ajax_nopriv_qsm_create_quiz_nonce, por lo que no actúa como barrera de autorización. Afecta a todas las versiones hasta la 11.2.7 inclusive.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
expresstech Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker
hasta 11.2.7
Qué hacer
- Verificá si usás Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The The Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 11.2.7. This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes. The submission nonce is dispensed to any unauthenticated caller by the public wp_ajax_nopriv_qsm_create_quiz_nonce endpoint, meaning it functions as a CSRF token rather than an authorization barrier and imposes no meaningful obstacle to exploitation.
Referencias (6)
- www.wordfence.com/threat-intel/vulnerabilities/id/020209b3-2175-4509-836a-8a60ed4f4b15?so…
- plugins.trac.wordpress.org/browser/quiz-master-next/tags/11.2.7/php/classes/class-qmn-qui…
- plugins.trac.wordpress.org/browser/quiz-master-next/tags/11.2.7/php/classes/class-qmn-qui…
- plugins.trac.wordpress.org/browser/quiz-master-next/tags/11.2.7/php/classes/class-qmn-qui…
- plugins.trac.wordpress.org/browser/quiz-master-next/tags/11.2.7/renderer/frontend/class-q…
- plugins.trac.wordpress.org/changeset?reponame=&old=3729156%40quiz-master-next&new=3729156…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.