Quiz And Survey Master: PHP-Objekt-Injection durch Deserialisierung unsicherer Daten
Zusammenfassung
Das WordPress-Plugin Quiz And Survey Master (quiz-master-next) bis und mit Version 11.2.7 deserialisiert unsichere Daten, was PHP Object Injection (CWE-502) ermöglicht. Gemäss CVE-Eintrag und Patchstack kann ein Angreifer mit einem Konto mit geringen Rechten (Contributor-Stufe) manipulierte Eingaben senden, um PHP-Objekte auf dem Server zu erzeugen; dies kann zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führen. CISA SSVC bewertet die Ausnutzung als keine und die Automatisierbarkeit als nicht gegeben.
Betroffen
- Quiz And Survey Master (WordPress-Plugin, Paket quiz-master-next) von n/a bis und mit 11.2.7
- Erforderliche Berechtigung: Contributor (gemäss Patchstack)
Behoben in
- Version 11.2.8 oder neuer
Umgehung
- Unbekannt. Die Quellen dokumentieren keine Workaround-Massnahme. Patchstack bietet allenfalls einen Virtual Patch an; der Patchstack-Eintrag ist zu prüfen.
Ausnutzung
- Kein öffentlicher Exploit bekannt; VulDB meldet, dass kein Exploit öffentlich verfügbar ist.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, Automatisierbarkeit nein, technische Auswirkung total.
- Patchstack stuft das Problem als mittlere Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob Quiz And Survey Master (quiz-master-next) installiert ist und welche Version verwendet wird.
- Auf Version 11.2.8 oder neuer aktualisieren.
- Benutzerrollen überprüfen und nicht benötigte Contributor- oder Autor-Konten entfernen.
- Den Patchstack-Eintrag auf Virtual Patch oder weitere Versionsangaben überwachen.
- CVE-2026-104392 betrifft voraussichtlich denselben Plugin-Fehler; vor dem Schliessen von Tickets prüfen, ob es sich um Duplikate handelt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-111408 patchstack.com
- OpenCVE CVE-2026-111408 app.opencve.io
- VulDB 422303 vuldb.com
- GitHub fix pull request 3278 github.com
- Vulners CVE-2026-104392 (possible duplicate) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.