CVE-2026-13767

Nome do Software Vulnerável e Versões Afetadas Quiz Master Next versões anteriores a 11.2.1

Descrição Existe um problema onde atacantes autenticados com nível de acesso de Autor ou superior podem realizar uma Injeção de SQL de segunda ordem. Isso ocorre porque o manipulador AJAX qsm ajax save pages() não escapa suficientemente o parâmetro pages, e a função qsm options questions tab content() falha ao não utilizar $wpdb->prepare() ou a conversão para inteiro ao interpolar IDs de página armazenados em uma cláusula IN(). Um atacante pode plantar um payload SQL que é executado sempre que qualquer usuário, incluindo um administrador, visualiza a aba de Questões de um quiz, permitindo potencialmente a extração de informações sensíveis do banco de dados.

Recomendações Atualize para uma versão posterior à 11.2.0.