CVE-2026-57667
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Groundhogg dla WordPress w wersji 4.5 i starszych zawiera podatność na wstrzykiwanie SQL w module przedstawiciela handlowego. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Ocena ryzyka
Ryzyko obejmuje potencjalny wyciek wrażliwych danych klientów, modyfikację lub usunięcie rekordów w bazie danych oraz możliwość eskalacji uprawnień w systemie.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Groundhogg do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również przejrzeć logi bazy danych pod kątem podejrzanych zapytań SQL.
Inne podatności w Groundhogg
Zobacz wszystkie- CVE-2026-18387Średnie
Wtyczka Groundhogg dla WordPressa do wersji 4.5.14 włącznie jest podatna na iniekcję SQL przez parametr tag_query. Brak odpowiedniego escapowania i przygotowania zapytania umożliwia uwierzytelnionym atakującym z dostępem na poziomie vendor dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych danych. Wymaga to wywołania Legacy_Contact_Query przez nieznany typ filtra.
- CVE-2026-11454Średnie
Wtyczka Groundhogg dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 4.5.2 włącznie. Endpoint REST GET /wp-json/gh/v4/contacts/<id> sprawdza tylko uprawnienie view_contacts, a nie view_others_contacts, co pozwala uwierzytelnionym atakującym (np. roli Sales Rep) na odczyt dowolnych rekordów kontaktów, w tym danych osobowych (PII), metadanych, ID właścicieli, URL-i edycji i pełnych uprawnień powiązanych użytkowników WordPressa.
- CVE-2026-57389Wysokie
Wtyczka Groundhogg dla WordPressa w wersji do 4.4.1 zawiera podatność na ścieżkę przejścia (Path Traversal), która umożliwia nieautoryzowany dostęp do plików poza ograniczonym katalogiem.
- CVE-2026-14029Średnie
Wtyczka Groundhogg dla WordPressa (wersje do 4.5.8) zawiera podatność na wstrzykiwanie SQL przez parametr 'select'. Uwierzytelniony atakujący z dostępem na poziomie niestandardowej roli i wyższym może dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych danych z bazy.
- CVE-2026-13333Średnie
Wtyczka Groundhogg dla WordPressa (wersje do 4.5.5) zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'query[select]'. Brak odpowiedniego escapowania i przygotowania zapytań SQL umożliwia uwierzytelnionym atakującym z dostępem na poziomie przedstawiciela handlowego lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-13331Średnie
Wtyczka Groundhogg dla WordPressa (CRM, newslettery i automatyzacja marketingu) w wersjach do 4.5.5 włącznie zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'search'. Problem wynika z niedostatecznego escapowania danych wejściowych i braku odpowiedniego przygotowania zapytań SQL.
- CVE-2026-40793Średnie
W wersjach Groundhogg poniżej 4.4.1 występuje problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do danych.
- CVE-2026-40727Wysokie
W wersjach Groundhogg do 4.4 występuje podatność, która pozwala przedstawicielom handlowym na dowolne usunięcie plików.
Oryginalny opis (angielski, źródło NVD)
Sales Representative SQL Injection in Groundhogg <= 4.5 versions.