CVE-2026-97644 in Groundhogg Plugin
الملخص
بحسب VulDB • 03/10/2026
يحتوي إضافة Groundhogg - CRM، النشرات الإخبارية والأتمتة التسويقية لـ ووردبريس على ثغرة تصعيد الصلاحيات عبر إعادة ربط هوية جهة الاتصال في جميع الإصدارات حتى 4.9 شاملاً. توجد الثغرة لأن دالة `create_contact` في نقطة نهاية v3 REST (`POST /gh/v3/contacts`) مقيدة فقط بصلاحية `add_contacts` وتقوم بتوجيه حمولة الطلب الكاملة - بما فيها عمود `user_id` الحامل للأمان - إلى مسار الإدراج أو التحديث لـ `Contacts_DB::add()`، مما يتجاوز حارس الملكية الذي يفرضه `Contacts_DB::update()`، مُمكّناً المهاجم من إعادة ربط أي سجل جهة اتصال موجود بمعرف مستخدم ووردبريس عشوائي. هذا يجعل من الممكن للمهاجمين المصادق عليهم الذين يمتلكون وصولاً بمستوى ممثل المبيعات وما فوق إدراج أو تحديث صف جهات الاتصال الخاصة بهم للإشارة إلى معرف المستخدم لمدير النظام (Administrator)، ثم استدعاء نقطة نهاية اختبار البريد الإلكتروني v4 (`POST /gh/v4/emails/test`) - التي يمكن أيضاً الوصول إليها من قبل دور ممثل المبيعات عبر صلاحية `send_emails` - لتوليد مفتاح أذونات لمرة واحدة `{auto_login_url}` مرتبط بجهة الاتصال المعاد ربطها، واستهلاك هذا الرابط لاستدعاء `wp_set_auth_cookie()` والحصول على جلسة مصادق عليها بالكامل بصفتك مدير ووردبريس.
If you want to get best quality of vulnerability data, you may have to visit VulDB.