ExpressTech Quiz And Survey Master: PHP Object Injection im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Quiz And Survey Master (quiz-master-next) bis und mit Version 11.2.7 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die durch unsichere Deserialisierung nicht vertrauenswürdiger Daten verursacht wird. Ein authentifizierter Angreifer mit einem Konto der Rolle Contributor kann unter Umständen die Datenverarbeitung manipulieren und schädliche Aktionen auf dem Server ausführen. Es ist keine aktive Ausnutzung und kein öffentlicher Exploit bekannt, der Fix-Commit ist jedoch öffentlich, weshalb eine Ausnutzung als n-day möglich ist.
Betroffen
- ExpressTech Quiz And Survey Master (WordPress-Plugin, Paket quiz-master-next) bis und mit 11.2.7
Behoben in
- Version 11.2.8 oder neuer
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Konten mit den Rollen Contributor oder höher prüfen und nicht benötigte entfernen, bis das Update eingespielt ist.
Ausnutzung
- Ausnutzung in freier Wildbahn: nichts bekannt.
- Öffentlicher PoC: keiner gefunden; der Fix-Pull-Request beschreibt den Code-Pfad öffentlich.
- EPSS: ca. 0.29%.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Erforderliche Berechtigung: Contributor (Arbeitsannahme, auf der Patchstack-Seite noch nicht verifiziert).
Unsere Empfehlung
- Das Plugin auf allen Websites, auf denen es installiert ist, auf Version 11.2.8 oder neuer aktualisieren.
- Prüfen, welche Konten die Rolle Contributor oder höher besitzen, und nicht benötigte entfernen.
- Auf ungewöhnliche Plugin-Aktivitäten achten und das Plugin aktuell halten, da es in letzter Zeit viele authentifizierte Schwachstellen aufwies.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: PHP Object Injection in WordPress Quiz And Survey Master Plugin patchstack.com
- NVD record via Vulners vulners.com
- CVE List record via Vulners vulners.com
- Fix pull request 3278 github.com
- Release pull request 3282 github.com
- Pull request 3283 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.