CVE-2026-97644 in Groundhogg Plugin
Résumé
par VulDB • 03/10/2026
Le plugin Groundhogg — CRM, Newsletters et Automatisation Marketing pour WordPress est vulnérable à une élévation de privilèges via le rebind d'identité de contact dans toutes les versions jusqu'à la 4.9 incluse. La vulnérabilité existe car la fonction `create_contact` du point de terminaison REST v3 (`POST /gh/v3/contacts`) est protégée uniquement par la capacité `add_contacts` et transmet l'intégralité du payload de la requête — y compris la colonne porteuse de sécurité `user_id` — vers le chemin upsert de `Contacts_DB::add()`, ce qui contourne le garde-fou d'appartenance imposé par `Contacts_DB::update()`, permettant à un attaquant de rebind n'importe quel enregistrement de contact existant à un ID utilisateur WordPress arbitraire. Cela permet aux attaquants authentifiés disposant d'un accès au niveau « Représentant des ventes » et supérieur d'upsert leur propre ligne de contact pour pointer vers l'ID utilisateur d'un Administrateur, puis d'invoquer le point de terminaison v4 de test d'e-mail (`POST /gh/v4/emails/test`) — également accessible au rôle Représentant des ventes via la capacité `send_emails` — afin de générer une clé de permissions à usage unique `{auto_login_url}` liée au contact rebindé, et consommer ce lien pour appeler `wp_set_auth_cookie()` et obtenir une session entièrement authentifiée en tant qu'Administrateur WordPress.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.