CVE-2026-13331

Wtyczka Groundhogg dla WordPressa jest podatna na eskalację uprawnień w wersjach do 4.8.3 włącznie. Funkcja create_support_user() identyfikuje konto wsparcia wyłącznie na podstawie publicznie znanych stałych, co pozwala atakującemu z kontem o loginie 'groundhogg' i odpowiednim adresie email na awans do administratora, a w multisite do super administratora.

Wtyczka Groundhogg dla WordPressa do wersji 4.9 włącznie jest podatna na eskalację uprawnień. Brak kontroli własności i uprawnień w funkcji 'process_edit()' umożliwia uwierzytelnionym użytkownikom z uprawnieniem 'edit_contacts' (np. sprzedawcom) przypisanie kontaktu do dowolnego konta WordPress, w tym administratora, a następnie wykorzystanie auto-login URL do zalogowania się jako administrator.

Wtyczka Groundhogg w wersjach do 4.8.3 włącznie zawiera podatność typu Sensitive Data Exposure, którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Groundhogg do WordPressa (wersje do 4.8.3) zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na eskalację uprawnień przez ponowne powiązanie tożsamości kontaktu. Funkcja create_contact w punkcie REST v3 jest chroniona tylko przez uprawnienie add_contacts i przekazuje pełny payload, w tym user_id, do ścieżki upsert, omijając zabezpieczenia właściciela. Pozwala to atakującym z dostępem na poziomie Sales Representative i wyżej na powiązanie kontaktu z ID administratora, a następnie wykorzystanie punktu testowego e-mail v4 do uzyskania sesji administratora.

Wtyczka Groundhogg w wersjach do 4.7.1 zawiera podatność typu path traversal w funkcji import_contacts. Umożliwia to manipulację ścieżkami plików podczas importu kontaktów.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa przed wersją 4.7.2 nie ogranicza celu przekierowania w procesie potwierdzania preferencji e-mail do własnego hosta witryny, co pozwala nieuwierzytelnionym atakującym na przekierowanie odwiedzających na dowolny zewnętrzny adres URL za pomocą spreparowanego linku.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa przed wersją 4.5.13 nie waliduje ani nie escapuje wartości przesłanych w niektórych opcjonalnych polach formularzy internetowych przed ich zapisaniem i wyświetleniem w obszarze administracyjnym, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom z wysokimi uprawnieniami.

Wtyczka Groundhogg dla WordPressa do wersji 4.5.14 włącznie jest podatna na iniekcję SQL przez parametr tag_query. Brak odpowiedniego escapowania i przygotowania zapytania umożliwia uwierzytelnionym atakującym z dostępem na poziomie vendor dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych danych. Wymaga to wywołania Legacy_Contact_Query przez nieznany typ filtra.

Wtyczka Groundhogg dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 4.5.2 włącznie. Endpoint REST GET /wp-json/gh/v4/contacts/<id> sprawdza tylko uprawnienie view_contacts, a nie view_others_contacts, co pozwala uwierzytelnionym atakującym (np. roli Sales Rep) na odczyt dowolnych rekordów kontaktów, w tym danych osobowych (PII), metadanych, ID właścicieli, URL-i edycji i pełnych uprawnień powiązanych użytkowników WordPressa.