CVE-2026-18387 in Groundhogg Plugin
Zusammenfassung
von VulDB • 15.08.2026
Das WordPress-Plugin Groundhogg — CRM, Newsletters und Marketing Automation ist in allen Versionen bis einschließlich 4.5.14 anfällig für eine generische SQL Injection über den Parameter 'tag_query'. Diese Schwachstelle resultiert aus unzureichender Maskierung des benutzereingebenen Parameters sowie mangelnder vorbereitender Aufbereitung der bestehenden SQL-Abfrage. Dies ermöglicht es authentifizierten Angreifern mit Zugriff auf Vendor-Ebene und höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Die Ausnutzung erfordert, dass der Angreifer den anfälligen Codepfad Legacy_Contact_Query durch Übermitteln eines unbekannten Filtertyps (z. B. filters[0][0][type]=force_fallback) aktiviert, was eine FilterException auslöst und die Ausführung vom modernen Abfragehandler wegleitet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.