DUPIN Alertas · QuarkAhttps://alertas.dupin.com.ar/fabricante/quarka/Alertas de vulnerabilidades de QuarkA.esSat, 07 Nov 2026 08:46:41 +000010Vulnerabilidad: CVE-2026-87112 · Inyección de objetos PHP con ejecución remota de código en QA Assistants hasta 5.3.0https://alertas.dupin.com.ar/cve/CVE-2026-87112/tg:63897Sat, 07 Nov 2026 08:46:41 +0000VulnerabilidadEl parámetro dlevent_ver se deserializa sin restricción de clases mediante wrap_unserialize_static(), y serialize_escape() no sanea secuencias de recorrido en raw_name. Atacantes no autenticados pueden inyectar un objeto PHP y, usando el gadget Guzzle FileCookieJar incluido, escribir archivos arbitrarios y lograr ejecución remota de código. Requiere disparar el evento programado qahm_cron_data_manage vía wp-cron.php. Afecta a versiones hasta la 5.3.0 inclusive.Vulnerabilidad: CVE-2026-114697 · Cross-site scripting (XSS) almacenado en el plugin QA Analytics de WordPresshttps://alertas.dupin.com.ar/cve/CVE-2026-114697/tg:60993Sat, 24 Oct 2026 09:20:08 +0000VulnerabilidadEl plugin QA Analytics de WordPress no neutraliza correctamente la entrada durante la generación de páginas, lo que permite un XSS almacenado. Afecta a las versiones hasta la 5.3.0.1.