🟡 CVE-2026-13767: Medium Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin „Quiz Master Next“ enthält eine kritische SQL-Injection-Schwachstelle in Version 11.2.0 und älteren Versionen. Die Vulnerability ermöglicht authentifizierten Angreifern mit Author-Level-Berechtigung, SQL-Payloads zu injizieren, die bei der Anzeige des Quiz-Frage-Tabs durch beliebige Benutzer ausgeführt werden. Dies stellt eine Second-Order SQL Injection dar, die zu Datenbankmanipulation und Informationspreisgabe führt.

Betroffene Systeme

Betroffene Komponente: Quiz Master Next Plugin für WordPress
Vulnerable Versionen: bis einschließlich 11.2.0
CVSS-Score: 6.5 (Medium)
CVE-ID: CVE-2026-13767

Technische Details

Schwachstellenanalyse:
Die Vulnerabilität existiert in zwei kritischen Komponenten:

• AJAX-Handler qsm_ajax_save_pages(): Der ‚pages‘-Parameter wird unzureichend validiert. Es kommt ausschließlich sanitize_text_field() zum Einsatz, welches SQL-Syntax nicht neutralisiert.
• SQL-Query in qsm_options_questions_tab_content() (Zeile 143): Die gespeicherten Page-IDs werden direkt via implode() in eine IN()-Klausel interpoliert, ohne $wpdb->prepare() zu nutzen oder Integer-Casting durchzuführen.

Der Angriff erfolgt zwei-stufig: Zunächst speichert ein authentifizierter Angreifer die SQL-Payload als Quiz-Seite. Diese wird bei späteren Zugriffen auf den Questions-Tab ausgeführt, wenn Administratoren oder andere Benutzer die Quiz-Verwaltung aufrufen.

Empfohlene Massnahmen

• Sofortige Deaktivierung: Plugin deaktivieren und deinstallieren, bis Patch verfügbar ist
• Zugriffsbeschränkung: Author-Rechte auf vertrauenswürdige Benutzer limitieren
• Datenbanküberwachung: Verdächtige SQL-Abfragen in Logs prüfen
• Alternative suchen: Funktional äquivalente, gepatchte Plugins evaluieren

Bewertung

Mittlerer Schweregrad mit erheblichem Schadenpotential bei erfolgreicher Exploitation. Die Voraussetzung authentifizierter Zugriff limitiert die Angriffsbreite. Allerdings ermöglicht die Second-Order-Injection kritische Datenbank-Operationen mit Administratorrechten. Patch-Status bleibt kritisch zu beobachten.

„`