CVE-2026-97644 in Groundhogg Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin Groundhogg – CRM, Newsletter e Automazione di Marketing per WordPress è vulnerabile ad Escalation dei Privilegi tramite Rebinding dell'Identità del Contatto in tutte le versioni fino alla 4.9 inclusa. La vulnerabilità esiste perché la funzione `create_contact` nell'endpoint REST v3 (`POST /gh/v3/contacts`) è protetta esclusivamente dalla capacità (capability) `add_contacts` e inoltra il payload completo della richiesta, inclusa la colonna `user_id` portatrice di sicurezza, nel percorso upsert di `Contacts_DB::add()`, eludendo così il controllo di proprietà enforced da `Contacts_DB::update()`. Ciò consente a un attaccante di riassociare qualsiasi record di contatto esistente a un ID utente WordPress arbitrario. Questo rende possibile per gli attaccanti autenticati con accesso di livello Rappresentante delle Vendite (Sales Representative) e superiore eseguire l'upsert della propria riga di contatto puntando all'ID utente di un Amministratore, quindi invocare l'endpoint v4 di test email (`POST /gh/v4/emails/test`) – anch'esso accessibile al ruolo Rappresentante delle Vendite tramite la capacità `send_emails` – per generare una chiave di permessi monouso `{auto_login_url}` associata al contatto riassociato e consumare tale link per chiamare `wp_set_auth_cookie()` ed ottenere una sessione completamente autenticata come Amministratore WordPress.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.