CVE-2026-14029
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka Groundhogg dla WordPressa (wersje do 4.5.8) zawiera podatność na wstrzykiwanie SQL przez parametr 'select'. Uwierzytelniony atakujący z dostępem na poziomie niestandardowej roli i wyższym może dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych danych z bazy.
Ocena ryzyka
Atakujący może wykraść poufne informacje z bazy danych WordPress, takie jak dane użytkowników, hasła czy klucze API, co prowadzi do naruszenia bezpieczeństwa danych i potencjalnego przejęcia kont.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Groundhogg do najnowszej dostępnej wersji, która usuwa tę podatność. Dodatkowo warto ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w Groundhogg
Zobacz wszystkie- CVE-2026-18387Średnie
Wtyczka Groundhogg dla WordPressa do wersji 4.5.14 włącznie jest podatna na iniekcję SQL przez parametr tag_query. Brak odpowiedniego escapowania i przygotowania zapytania umożliwia uwierzytelnionym atakującym z dostępem na poziomie vendor dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych danych. Wymaga to wywołania Legacy_Contact_Query przez nieznany typ filtra.
- CVE-2026-11454Średnie
Wtyczka Groundhogg dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 4.5.2 włącznie. Endpoint REST GET /wp-json/gh/v4/contacts/<id> sprawdza tylko uprawnienie view_contacts, a nie view_others_contacts, co pozwala uwierzytelnionym atakującym (np. roli Sales Rep) na odczyt dowolnych rekordów kontaktów, w tym danych osobowych (PII), metadanych, ID właścicieli, URL-i edycji i pełnych uprawnień powiązanych użytkowników WordPressa.
- CVE-2026-57389Wysokie
Wtyczka Groundhogg dla WordPressa w wersji do 4.4.1 zawiera podatność na ścieżkę przejścia (Path Traversal), która umożliwia nieautoryzowany dostęp do plików poza ograniczonym katalogiem.
- CVE-2026-13333Średnie
Wtyczka Groundhogg dla WordPressa (wersje do 4.5.5) zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'query[select]'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie przedstawiciela handlowego lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-13331Średnie
Wtyczka Groundhogg dla WordPressa (CRM, newslettery i automatyzacja marketingu) w wersjach do 4.5.5 włącznie zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'search'. Problem wynika z niedostatecznego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytań SQL.
- CVE-2026-57667Wysokie
Wtyczka Groundhogg dla WordPress w wersji 4.5 i starszych zawiera podatność na wstrzykiwanie SQL w module przedstawiciela handlowego. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2026-40793Średnie
W wersjach Groundhogg poniżej 4.4.1 występuje problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do danych.
- CVE-2026-40727Wysokie
W wersjach Groundhogg do 4.4 występuje podatność, która pozwala przedstawicielom handlowym na dowolne usunięcie plików.
Oryginalny opis (angielski, źródło NVD)
The Groundhogg — CRM, Newsletters, and Marketing Automation plugin for WordPress is vulnerable to generic SQL Injection via the 'select' parameter in all versions up to, and including, 4.5.8 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with custom-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. Exploitation requires the attacker to hold a Groundhogg custom role with the view_contacts capability, which is granted by default to several built-in Groundhogg roles above the base subscriber level.