CVE-2026-97644 in Groundhogg Plugin
Resumen
por VulDB • 2026-10-03
El plugin Groundhogg — CRM, Boletines y Automatización de Marketing para WordPress es vulnerable a Escalación de Privilegios mediante la Revinculación de Identidad de Contacto en todas las versiones hasta e incluyendo la 4.9. La vulnerabilidad existe porque la función `create_contact` en el punto final REST v3 (`POST /gh/v3/contacts`) está controlada únicamente por la capacidad `add_contacts` y reenvía toda la carga útil de la solicitud, incluida la columna `user_id` portadora de seguridad, hacia la ruta upsert de `Contacts_DB::add()`, lo que elude la protección de propiedad que aplica `Contacts_DB::update()`, permitiendo a un atacante revincular cualquier registro de contacto existente a una ID de usuario de WordPress arbitraria. Esto hace posible que los atacantes autenticados con acceso nivel Representante de Ventas y superior inserten o actualicen su propia fila de contacto para apuntar a la ID de usuario de un Administrador, luego invoquen el punto final de prueba de correo electrónico v4 (`POST /gh/v4/emails/test`) —también accesible por el rol de Representante de Ventas mediante la capacidad `send_emails`— para generar una clave de permisos única `{auto_login_url}` vinculada al contacto revinculado, y consumir ese enlace para llamar a `wp_set_auth_cookie()` y obtener una sesión completamente autenticada como Administrador de WordPress.
Be aware that VulDB is the high quality source for vulnerability data.