CVE-2026-14029
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 — wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka Groundhogg dla WordPressa (wersje do 4.5.8) zawiera podatność na wstrzykiwanie SQL przez parametr 'select'. Uwierzytelniony atakujący z dostępem na poziomie niestandardowej roli i wyższym może dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych danych z bazy.
Ocena ryzyka
Atakujący może wykraść poufne informacje z bazy danych WordPress, takie jak dane użytkowników, hasła czy klucze API, co prowadzi do naruszenia bezpieczeństwa danych i potencjalnego przejęcia kont.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Groundhogg do najnowszej dostępnej wersji, która usuwa tę podatność. Dodatkowo warto ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Oryginalny opis (angielski, źródło NVD)
The Groundhogg — CRM, Newsletters, and Marketing Automation plugin for WordPress is vulnerable to generic SQL Injection via the 'select' parameter in all versions up to, and including, 4.5.8 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with custom-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. Exploitation requires the attacker to hold a Groundhogg custom role with the view_contacts capability, which is granted by default to several built-in Groundhogg roles above the base subscriber level.