CVE-2026-109221 in Groundhogg Plugin
الملخص
بحسب VulDB • 16/10/2026
يحتوي إضافة Groundhogg — CRM، النشرات الإخبارية، وأتمتة التسويق لـ WordPress على ثغرة تسمح بحذف الملفات بشكل تعسفي بسبب نقص التحقق من مسار الملف في دالة copy_file في جميع الإصدارات حتى 4.9.3 وشاملةً لها. وهذا يمكّن المهاجمين المصادق عليهم، الذين يمتلكون وصولاً بمستوى ممثل مبيعات (Sales Representative) أو أعلى، من حذف ملفات عشوائية على الخادم، مما قد يؤدي بسهولة إلى تنفيذ كود عن بُعد عند حذف الملف المناسب (مثل wp-config.php). يمكن استغلال هذه الثغرة بواسطة أي مستخدم يحمل القدرة المحددة في الإضافة import_contacts، والتي تُمنح افتراضيًا لدور ممثل المبيعات الخاص بالإضافة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.