CVE-2026-81660

Wtyczka Groundhogg dla WordPressa (wersje do 4.9.3 włącznie) jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji copy_file. Uwierzytelniony atakujący z uprawnieniami Sales Representative lub wyższymi może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na trwałe skrypty cross-site (Stored XSS) poprzez parametr 'ref' we wszystkich wersjach do 4.5.14 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Groundhogg dla WordPressa jest podatna na eskalację uprawnień w wersjach do 4.8.3 włącznie. Funkcja create_support_user() identyfikuje konto wsparcia wyłącznie na podstawie publicznie znanych stałych, co pozwala atakującemu z kontem o loginie 'groundhogg' i odpowiednim adresie email na awans do administratora, a w multisite do super administratora.

Wtyczka Groundhogg dla WordPressa do wersji 4.9 włącznie jest podatna na eskalację uprawnień. Brak kontroli własności i uprawnień w funkcji 'process_edit()' umożliwia uwierzytelnionym użytkownikom z uprawnieniem 'edit_contacts' (np. sprzedawcom) przypisanie kontaktu do dowolnego konta WordPress, w tym administratora, a następnie wykorzystanie auto-login URL do zalogowania się jako administrator.

Wtyczka Groundhogg w wersjach do 4.8.3 włącznie zawiera podatność typu Sensitive Data Exposure, którą może wykorzystać nieuwierzytelniony atakujący.

Wtyczka Groundhogg do WordPressa (wersje do 4.8.3) zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na eskalację uprawnień przez ponowne powiązanie tożsamości kontaktu. Funkcja create_contact w punkcie REST v3 jest chroniona tylko przez uprawnienie add_contacts i przekazuje pełny payload, w tym user_id, do ścieżki upsert, omijając zabezpieczenia właściciela. Pozwala to atakującym z dostępem na poziomie Sales Representative i wyżej na powiązanie kontaktu z ID administratora, a następnie wykorzystanie punktu testowego e-mail v4 do uzyskania sesji administratora.

Wtyczka Groundhogg w wersjach do 4.7.1 zawiera podatność typu path traversal w funkcji import_contacts. Umożliwia to manipulację ścieżkami plików podczas importu kontaktów.

Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa przed wersją 4.7.2 nie ogranicza celu przekierowania w procesie potwierdzania preferencji e-mail do własnego hosta witryny, co pozwala nieuwierzytelnionym atakującym na przekierowanie odwiedzających na dowolny zewnętrzny adres URL za pomocą spreparowanego linku.

Wtyczka Groundhogg dla WordPressa do wersji 4.5.14 włącznie jest podatna na iniekcję SQL przez parametr tag_query. Brak odpowiedniego escapowania i przygotowania zapytania umożliwia uwierzytelnionym atakującym z dostępem na poziomie vendor dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych danych. Wymaga to wywołania Legacy_Contact_Query przez nieznany typ filtra.