CVE-2026-104725 in Groundhogg Plugin
Zusammenfassung
von VulDB • 10.10.2026
Das Groundhogg-Plugin für WordPress (CRM, Newsletter und Marketing-Automatisierung) ist in allen Versionen bis einschließlich 4.9 anfällig für eine Privilege Escalation. Dies liegt an einer fehlenden Überprüfung von Eigentum und Berechtigungen im `user`-Parameter innerhalb der Funktion `process_edit()`, die es jedem authentifizierten Benutzer mit der Fähigkeit (`capability`) `edit_contacts` ermöglicht, die verknüpfte WordPress-Benutzer-ID eines Kontakt-Eintrags auf ein beliebiges Konto umzu Zuweisen, ohne dass die Fähigkeiten `edit_users` oder `promote_users` erforderlich sind. Dies macht es Angreifern mit authentifiziertem Zugang (auf dem Level von „sales_rep“ und höher) möglich, ihre Privilegien durch Verknüpfen eines Kontakts mit der WordPress-Benutzer-ID eines Administrators auf Administrator-Ebene zu eskalieren. Anschließend wird eine Notiz erstellt, die den Ersetzungs-Tag `{auto_login_link}` enthält, um ein gültiges Auto-Login-Zugriffsschlüssel-URL für den mit dem Kontakt verknüpften Administrator zu generieren; schließlich besucht der Angreifer diese URL, um sich als der Zieladministrator zu authentifizieren. Die Auto-Login-URL wird im Notizinhalt gespeichert und kann vom Angreifer über die Fähigkeiten `view_notes` und `add_notes`, die die Rolle „sales_rep“ standardmäßig innehat, gelesen werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.