🇰🇷 한글 설명
Quiz and Survey Master (QSM) WordPress 플러그인 11.2.4 미만 버전에서 REST API 경로를 통해 문제 은행 항목을 반환할 때 권한 확인을 수행하지 않습니다. 이로 인해 기여자(Contributor) 권한을 가진 사용자도 다른 사용자의 퀴즈 질문, 힌트 및 정답 키를 읽을 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 다른 사람이 만든 퀴즈의 문제와 정답을 몰래 훔쳐볼 수 있는 보안 결함입니다. 이로 인해 퀴즈의 공정성이 훼손될 수 있습니다.
🇺🇸 원문 (English)
The Quiz and Survey Master (QSM) WordPress plugin before 11.2.4 does not check authorisation when returning question bank entries through one of its REST API routes, allowing users with a role as low as Contributor to read the questions, hints and correct answer keys of quizzes belonging to other users.
📍 영향받는 시스템
Quiz and Survey Master (QSM) WordPress plugin versions before 11.2.4
⚔️ 공격 벡터
권한이 낮은 사용자가 조작된 REST API 요청을 통해 타인의 퀴즈 데이터를 조회
🛡️ 대응 방법
Quiz and Survey Master (QSM) 플러그인을 11.2.4 버전 이상으로 업데이트
🔧 검증 코드
출력된 플러그인 버전이 11.2.4 미만인지 확인하십시오.
wp plugin list --allow-root | grep -E 'quiz-and-survey-master'