CVE-2026-92975
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Wtyczka Groundhogg dla WordPressa jest podatna na eskalację uprawnień w wersjach do 4.8.3 włącznie. Funkcja create_support_user() identyfikuje konto wsparcia wyłącznie na podstawie publicznie znanych stałych, co pozwala atakującemu z kontem o loginie 'groundhogg' i odpowiednim adresie email na awans do administratora, a w multisite do super administratora.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie strony, w tym możliwość zmiany treści, kradzieży danych i instalacji złośliwego oprogramowania. Atak wymaga jednak współpracy administratora, który musi wywołać funkcję wsparcia.
Rekomendacja
Zaleca się aktualizację wtyczki Groundhogg do najnowszej wersji. Należy również zmienić sposób identyfikacji konta wsparcia, aby nie opierał się na publicznych stałych.
Inne podatności w Groundhogg
Zobacz wszystkie- CVE-2026-104725Wysokie
Wtyczka Groundhogg dla WordPressa do wersji 4.9 włącznie jest podatna na eskalację uprawnień. Brak kontroli własności i uprawnień w funkcji 'process_edit()' umożliwia uwierzytelnionym użytkownikom z uprawnieniem 'edit_contacts' (np. sprzedawcom) przypisanie kontaktu do dowolnego konta WordPress, w tym administratora, a następnie wykorzystanie auto-login URL do zalogowania się jako administrator.
- CVE-2026-104385Wysokie
Wtyczka Groundhogg w wersjach do 4.8.3 włącznie zawiera podatność typu Sensitive Data Exposure, którą może wykorzystać nieuwierzytelniony atakujący.
- CVE-2026-104408Wysokie
Wtyczka Groundhogg do WordPressa (wersje do 4.8.3) zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL.
- CVE-2026-97644Wysokie
Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa jest podatna na eskalację uprawnień przez ponowne powiązanie tożsamości kontaktu. Funkcja create_contact w punkcie REST v3 jest chroniona tylko przez uprawnienie add_contacts i przekazuje pełny payload, w tym user_id, do ścieżki upsert, omijając zabezpieczenia właściciela. Pozwala to atakującym z dostępem na poziomie Sales Representative i wyżej na powiązanie kontaktu z ID administratora, a następnie wykorzystanie punktu testowego e-mail v4 do uzyskania sesji administratora.
- CVE-2026-85310Średnie
Wtyczka Groundhogg w wersjach do 4.7.1 zawiera podatność typu path traversal w funkcji import_contacts. Umożliwia to manipulację ścieżkami plików podczas importu kontaktów.
- CVE-2026-81741Średnie
Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa przed wersją 4.7.2 nie ogranicza celu przekierowania w procesie potwierdzania preferencji e-mail do własnego hosta witryny, co pozwala nieuwierzytelnionym atakującym na przekierowanie odwiedzających na dowolny zewnętrzny adres URL za pomocą spreparowanego linku.
- CVE-2026-81660Wysokie
Wtyczka Groundhogg — CRM, Newsletters, and Marketing Automation dla WordPressa przed wersją 4.5.13 nie waliduje ani nie escapuje wartości przesłanych w niektórych opcjonalnych polach formularzy internetowych przed ich zapisaniem i wyświetleniem w obszarze administracyjnym, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom z wysokimi uprawnieniami.
- CVE-2026-18387Średnie
Wtyczka Groundhogg dla WordPressa do wersji 4.5.14 włącznie jest podatna na iniekcję SQL przez parametr tag_query. Brak odpowiedniego escapowania i przygotowania zapytania umożliwia uwierzytelnionym atakującym z dostępem na poziomie vendor dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych danych. Wymaga to wywołania Legacy_Contact_Query przez nieznany typ filtra.
- CVE-2026-11454Średnie
Wtyczka Groundhogg dla WordPressa jest podatna na Insecure Direct Object Reference (IDOR) w wersjach do 4.5.2 włącznie. Endpoint REST GET /wp-json/gh/v4/contacts/<id> sprawdza tylko uprawnienie view_contacts, a nie view_others_contacts, co pozwala uwierzytelnionym atakującym (np. roli Sales Rep) na odczyt dowolnych rekordów kontaktów, w tym danych osobowych (PII), metadanych, ID właścicieli, URL-i edycji i pełnych uprawnień powiązanych użytkowników WordPressa.
- CVE-2026-57389Wysokie
Wtyczka Groundhogg dla WordPressa w wersji do 4.4.1 zawiera podatność na ścieżkę przejścia (Path Traversal), która umożliwia nieautoryzowany dostęp do plików poza ograniczonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
The Groundhogg — CRM, Newsletters, and Marketing Automation plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 4.8.3 via the `create_support_user()` function. This is due to the function identifying the support account solely by matching against publicly hardcoded constants — `user_login` `'groundhogg'` and email addresses `'[email protected]'` / `'[email protected]'` — where the `in_array()` email-equality check at line 238 is not a security boundary because any user fully controls their own email value. This makes it possible for an attacker with an account whose `user_login` is `'groundhogg'` and whose `user_email` matches one of the hardcoded support constants to have that account silently promoted to administrator — and additionally to super admin on multisite when the triggering administrator holds `manage_network_options` — resulting in full site takeover. Exploitation requires a two-actor flow: the attacker must first obtain or pre-plant an account with the hardcoded credentials (possible when open user registration is enabled or another account-creation path exists), after which a legitimate administrator must invoke the support-access feature via the `submit_ticket` or `process_send_support_access` entry points to trigger the promotion.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS