CVE-2026-97644 in Groundhogg Plugin
要約
〜によって VulDB • 2026年10月03日
WordPress用プラグイン「Groundhogg — CRM、ニュースレター、マーケティングオートメーション」には、バージョン4.9以前（4.9を含む）において、連絡先IDの再バインドによる権限昇格の脆弱性が存在します。この脆弱性は、v3 RESTエンドポイント（`POST /gh/v3/contacts`）における `create_contact` 関数が `add_contacts` 権限のみによって保護されており、セキュリティ上重要な `user_id` カラムを含むリクエストペイロード全体を `Contacts_DB::add()` のアップサートパスに渡すため発生します。これにより、`Contacts_DB::update()` が適用する所有権のガードが回避され、攻撃者は既存の連絡先レコードを任意のWordPressユーザーIDに再バインドできます。
この脆弱性を利用すると、セールスリプレゼンティブレベル以上のアクセス権を持つ認証済み攻撃者が、自分の連絡先行をアップサートしてAdministrator（管理者）のユーザーIDを指し示すことができます。その後、`send_emails` 権限によりセールスリプレゼンティブロールでも利用可能なv4メールテストエンドポイント（`POST /gh/v4/emails/test`）を呼び出し、再バインドされた連絡先に紐づく `{auto_login_url}` というワンタイムパーミッションキーを生成します。攻撃者はこのリンクを使用して `wp_set_auth_cookie()` を呼び出すことで、WordPress Administratorとして完全に認証されたセッションを取得できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.