CVE-2026-11454 in Groundhogg Plugin
요약
\~에 의해 VulDB • 2026. 08. 05.
WordPress용 Groundhogg - CRM, 뉴스레터 및 마케팅 자동화 플러그인은 4.5.2 버전을 포함하여 모든 버전에서 GET /wp-json/gh/v4/contacts/<id> REST 엔드포인트를 통해 불안전한 직접 객체 참조(Insecure Direct Object Reference) 취약점이 존재합니다. 이 엔드포인트의 권한 콜백은 role-level view_contacts 기능만 확인하며, read_single()는 코드베이스 다른 곳에서 적용되는 object-level view_contact 소유권 검사 없이 순차적 정수 ID로 전체 연락처 레코드를 반환합니다. 이로 인해 view_others_contacts가 아닌 view_contacts 기능을 가진 인증된 공격자(특히 자신의 연락처만 볼 수 있도록 설계된 Groundhogg의 기본 Sales Rep 역할)가 사이트상의 모든 연락처 레코드, PII, 연락처 메타데이터, 소유자 ID, 관리자 편집 URL 및 (WordPress 사용자와 연결된 연락처의 경우 해당 사용자의 전체 기능 집합)를 읽을 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.