CVE-2026-9230

Nome do Software Vulnerável e Versões Afetadas Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker versões anteriores a 11.1.5

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem modificar questionários que não lhes pertencem, sobrescrever páginas de resultados de questionários e redirecionar e-mails de notificação de resultados para endereços controlados pelo atacante. O ataque envolve a chamada do endpoint '/quiz/structure' com um ID de questionário da vítima para obter um nonce válido (um token único usado para prevenir falsificação de requisição cross-site), que é então apresentado ao endpoint de salvamento '/quizzes/{id}/emails' para ignorar a verificação de propriedade.

Recomendações Atualize para uma versão posterior à 11.1.4. Restrinja o acesso aos endpoints '/quiz/structure' e '/quizzes/{id}/emails' para minimizar o risco de exploração.