CVE-2026-11454
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka Groundhogg dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 4.5.2 włącznie. Endpoint REST GET /wp-json/gh/v4/contacts/<id> sprawdza tylko uprawnienie view_contacts, a nie view_others_contacts, co pozwala uwierzytelnionym atakującym (np. roli Sales Rep) na odczyt dowolnych rekordów kontaktów, w tym danych osobowych (PII), metadanych, ID właścicieli, URL-i edycji i pełnych uprawnień powiązanych użytkowników WordPressa.
Ocena ryzyka
Ujawnienie wrażliwych danych osobowych klientów i szczegółów kont użytkowników może prowadzić do naruszenia prywatności i zgodności z RODO. Atakujący z ograniczonymi uprawnieniami może uzyskać dostęp do danych, do których nie powinien mieć wglądu.
Rekomendacja
Zaktualizuj wtyczkę Groundhogg do wersji, która zawiera poprawkę. Dodatkowo ogranicz dostęp do endpointu REST i wdróż kontrolę dostępu na poziomie obiektów.
Inne podatności w Groundhogg
Zobacz wszystkie- CVE-2026-18387Średnie
Wtyczka Groundhogg dla WordPressa do wersji 4.5.14 włącznie jest podatna na iniekcję SQL przez parametr tag_query. Brak odpowiedniego escapowania i przygotowania zapytania umożliwia uwierzytelnionym atakującym z dostępem na poziomie vendor dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych danych. Wymaga to wywołania Legacy_Contact_Query przez nieznany typ filtra.
- CVE-2026-57389Wysokie
Wtyczka Groundhogg dla WordPressa w wersji do 4.4.1 zawiera podatność na ścieżkę przejścia (Path Traversal), która umożliwia nieautoryzowany dostęp do plików poza ograniczonym katalogiem.
- CVE-2026-14029Średnie
Wtyczka Groundhogg dla WordPressa (wersje do 4.5.8) zawiera podatność na wstrzykiwanie SQL przez parametr 'select'. Uwierzytelniony atakujący z dostępem na poziomie niestandardowej roli i wyższym może dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych danych z bazy.
- CVE-2026-13333Średnie
Wtyczka Groundhogg dla WordPressa (wersje do 4.5.5) zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'query[select]'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie przedstawiciela handlowego lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-13331Średnie
Wtyczka Groundhogg dla WordPressa (CRM, newslettery i automatyzacja marketingu) w wersjach do 4.5.5 włącznie zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'search'. Problem wynika z niedostatecznego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytań SQL.
- CVE-2026-57667Wysokie
Wtyczka Groundhogg dla WordPress w wersji 4.5 i starszych zawiera podatność na wstrzykiwanie SQL w module przedstawiciela handlowego. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2026-40793Średnie
W wersjach Groundhogg poniżej 4.4.1 występuje problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do danych.
- CVE-2026-40727Wysokie
W wersjach Groundhogg do 4.4 występuje podatność, która pozwala przedstawicielom handlowym na dowolne usunięcie plików.
Oryginalny opis (angielski, źródło NVD)
The Groundhogg — CRM, Newsletters, and Marketing Automation plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 4.5.2 via the GET /wp-json/gh/v4/contacts/<id> REST endpoint. The endpoint's permission callback checks only the role-level view_contacts capability and read_single() returns the full contact record by sequential integer ID without the object-level view_contact ownership check applied elsewhere in the codebase. This makes it possible for authenticated attackers holding view_contacts but not view_others_contacts — notably Groundhogg's built-in Sales Rep role, designed to see only its own contacts — to read any contact record on the site, including PII, contact meta, owner IDs, the admin edit URL, and (for contacts linked to a WordPress user) that user's full capability set.