CVE-2026-97644
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na eskalację uprawnień przez ponowne powiązanie tożsamości kontaktu. Funkcja create_contact w punkcie REST v3 jest chroniona tylko przez uprawnienie add_contacts i przekazuje pełny payload, w tym user_id, do ścieżki upsert, omijając zabezpieczenia właściciela. Pozwala to atakującym z dostępem na poziomie Sales Representative i wyżej na powiązanie kontaktu z ID administratora, a następnie wykorzystanie punktu testowego e-mail v4 do uzyskania sesji administratora.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie konta administratora WordPress, co może prowadzić do całkowitej kompromitacji witryny i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Groundhogg do wersji nowszej niż 4.9 oraz ograniczenie uprawnień dla ról użytkowników.
Inne podatności w Groundhogg
Zobacz wszystkie- CVE-2026-109221Wysokie
Wtyczka Groundhogg dla WordPressa (wersje do 4.9.3 włącznie) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji copy_file. Uwierzytelniony atakujący z uprawnieniami Sales Representative lub wyższymi może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-18548Wysokie
Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na trwałe skrypty cross-site (Stored XSS) poprzez parametr 'ref' we wszystkich wersjach do 4.5.14 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-92975Wysokie
Wtyczka Groundhogg dla WordPressa jest podatna na eskalację uprawnień w wersjach do 4.8.3 włącznie. Funkcja create_support_user() identyfikuje konto wsparcia wyłącznie na podstawie publicznie znanych stałych, co pozwala atakującemu z kontem o loginie 'groundhogg' i odpowiednim adresie email na awans do administratora, a w multisite do super administratora.
- CVE-2026-104725Wysokie
Wtyczka Groundhogg dla WordPressa do wersji 4.9 włącznie jest podatna na eskalację uprawnień. Brak kontroli własności i uprawnień w funkcji 'process_edit()' umożliwia uwierzytelnionym użytkownikom z uprawnieniem 'edit_contacts' (np. sprzedawcom) przypisanie kontaktu do dowolnego konta WordPress, w tym administratora, a następnie wykorzystanie auto-login URL do zalogowania się jako administrator.
- CVE-2026-104385Wysokie
Wtyczka Groundhogg w wersjach do 4.8.3 włącznie zawiera podatność typu Sensitive Data Exposure, którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-104408Wysokie
Wtyczka Groundhogg do WordPressa (wersje do 4.8.3) zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL.
- CVE-2026-85310Średnie
Wtyczka Groundhogg w wersjach do 4.7.1 zawiera podatność typu path traversal w funkcji import_contacts. Umożliwia to manipulację ścieżkami plików podczas importu kontaktów.
- CVE-2026-81741Średnie
Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa przed wersją 4.7.2 nie ogranicza celu przekierowania w procesie potwierdzania preferencji e-mail do własnego hosta witryny, co pozwala nieuwierzytelnionym atakującym na przekierowanie odwiedzających na dowolny zewnętrzny adres URL za pomocą spreparowanego linku.
- CVE-2026-81660Wysokie
Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa przed wersją 4.5.13 nie waliduje ani nie escapuje wartości przesłanych w niektórych opcjonalnych polach formularzy internetowych przed ich zapisaniem i wyświetleniem w obszarze administracyjnym, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom z wysokimi uprawnieniami.
- CVE-2026-18387Średnie
Wtyczka Groundhogg dla WordPressa do wersji 4.5.14 włącznie jest podatna na iniekcję SQL przez parametr tag_query. Brak odpowiedniego escapowania i przygotowania zapytania umożliwia uwierzytelnionym atakującym z dostępem na poziomie vendor dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych danych. Wymaga to wywołania Legacy_Contact_Query przez nieznany typ filtra.
Oryginalny opis (angielski, źródło NVD)
The Groundhogg — CRM, Newsletters, and Marketing Automation plugin for WordPress is vulnerable to Privilege Escalation via Contact Identity Rebinding in all versions up to, and including, 4.9 The vulnerability exists because the `create_contact` function in the v3 REST endpoint (`POST /gh/v3/contacts`) is gated solely by the `add_contacts` capability and forwards the full request payload — including the security-bearing `user_id` column — into the upsert path of `Contacts_DB::add()`, which bypasses the ownership guard that `Contacts_DB::update()` enforces, allowing an attacker to rebind any existing contact record to an arbitrary WordPress user ID. This makes it possible for authenticated attackers with Sales Representative-level access and above to upsert their own contact row to point to an Administrator's user ID, then invoke the v4 email-test endpoint (`POST /gh/v4/emails/test`) — also accessible to the Sales Representative role via the `send_emails` capability — to generate an `{auto_login_url}` one-time permissions key bound to the rebound contact, and consume that link to call `wp_set_auth_cookie()` and gain a fully authenticated session as the WordPress Administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS