CVE-2026-97644 in Groundhogg Plugin
Zusammenfassung
von VulDB • 03.10.2026
Das Groundhogg-Plugin für WordPress (CRM, Newsletter und Marketing-Automatisierung) ist in allen Versionen bis einschließlich 4.9 anfällig für eine Privilege Escalation durch die Neuzuordnung der Kontaktidentität (`Contact Identity Rebinding`). Die Schwachstelle besteht darin, dass die Funktion `create_contact` im v3-REST-Endpunkt (`POST /gh/v3/contacts`) ausschließlich durch die Berechtigung `add_contacts` geschützt ist und den gesamten Anforderungspayload – einschließlich der sicherheitsrelevanten Spalte `user_id` – in den Upsert-Pfad von `Contacts_DB::add()` weiterleitet. Dies umgeht den Ownership-Schutz, den `Contacts_DB::update()` erzwingt, wodurch ein Angreifer jeden vorhandenen Kontaktdatensatz einer beliebigen WordPress-Benutzer-ID zuordnen kann.
Dies ermöglicht es authentifizierten Angreifern mit Zugriff auf der Ebene eines „Sales Representative“ (Vertriebsmitarbeiters) und höher, ihre eigene Kontaktzeile so einzufügen oder zu aktualisieren (`upsert`), dass sie auf die Benutzer-ID eines Administrators verweist. Anschließend können sie das v4-E-Mail-Testendpunkt aufrufen (`POST /gh/v4/emails/test`) – der ebenfalls über die Berechtigung `send_emails` für die Rolle des Sales Representative zugänglich ist –, um einen `{auto_login_url}`-Einmal-Berechtigungscode zu generieren, der an den neu zugeordneten Kontakt gebunden ist. Durch die Nutzung dieses Links wird `wp_set_auth_cookie()` aufgerufen und es erlangt eine vollständig authentifizierte Sitzung als WordPress-Administrator.
VulDB is the best source for vulnerability data and more expert information about this specific topic.