CVE-2026-14826
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Quiz and Survey Master (QSM) dla WordPressa przed wersją 11.2.4 nie przeprowadza kontroli własności obiektu na trasach REST, które zwracają konfigurację powiadomień e-mail i strony wyników quizu, co pozwala użytkownikom z dostępem na poziomie współautora i wyżej na odczyt konfiguracji, w tym adresów odbiorców powiadomień, quizów utworzonych przez innych użytkowników.
Ocena ryzyka
Ujawnienie adresów e-mail odbiorców powiadomień może naruszyć prywatność użytkowników i prowadzić do ataków phishingowych.
Rekomendacja
Zaktualizuj wtyczkę Quiz and Survey Master do wersji 11.2.4 lub nowszej, która zawiera poprawki zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
The Quiz and Survey Master (QSM) WordPress plugin before 11.2.4 does not perform a per-object ownership check on the REST routes that return a quiz's email-notification and results-page configuration, allowing users with contributor-level access and above to read the configuration, including notification recipient addresses, of quizzes created by other users.