Плагин Quiz And Survey Master для WordPress уязвим к подделке межсайтовых запросов в версиях до 8.0.8 включительно. Это связано с отсутствием проверки nonce для функции, связанной с действием AJAX qsm_remove_file_fd_question. Это позволяет неаутентифицированным злоумышленникам удалять произвольные медиафайлы с помощью поддельного запроса, при условии, что они могут обманом заставить администратора сайта выполнить такое действие, как нажатие на ссылку.
Показать оригинальное описание (EN)
The Quiz And Survey Master plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 8.0.8. This is due to missing nonce validation on the function associated with the qsm_remove_file_fd_question AJAX action. This makes it possible for unauthenticated attackers to delete arbitrary media files via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Expresstech Quiz_And_Survey_Master
cpe:2.3:a:expresstech:quiz_and_survey_master:*:*:*:*:*:wordpress:*:*
|
— |
<= 8.0.8
|