CVE-2026-13767

إصدارات Quiz Master Next السابقة للإصدار 11.2.1

توجد مشكلة تسمح للمهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المؤلف» أو أعلى بتنفيذ هجوم حقن SQL من الدرجة الثانية. يحدث هذا لأن معالج AJAX qsm ajax save pages() لا يقوم بتشفير المعلمة pages بشكل كافٍ، كما أن الدالة qsm options questions tab content() لا تستخدم $wpdb->prepare() أو تحويل القيم إلى أعداد صحيحة عند إدراج معرّفات الصفحات المخزنة في جملة IN(). يمكن للمهاجم زرع حمولة SQL يتم تنفيذها عندما يقوم أي مستخدم، بما في ذلك المسؤول، بعرض علامة التبويب «الأسئلة» في أحد الاختبارات، مما قد يسمح باستخراج معلومات حساسة من قاعدة البيانات.

قم بالتحديث إلى إصدار أحدث من 11.2.0.