CVE-2026-97644 in Groundhogg Plugin
Tóm tắt
Bởi VulDB • 03/10/2026
Plugin Groundhogg – CRM, Newsletters và Marketing Automation cho WordPress bị lỗ hổng Escalation đặc quyền (Privilege Escalation) thông qua việc tái liên kết danh tính liên hệ (Contact Identity Rebinding) trong tất cả các phiên bản từ 4.9 trở về trước. Lỗ hổng tồn tại do hàm `create_contact` trong điểm cuối REST v3 (`POST /gh/v3/contacts`) chỉ được kiểm soát bởi đặc quyền `add_contacts` và chuyển toàn bộ tải trọng yêu cầu – bao gồm cột `user_id` mang tính bảo mật – vào đường dẫn upsert của `Contacts_DB::add()`, điều này bỏ qua cơ chế bảo vệ chủ sở hữu mà `Contacts_DB::update()` thực thi, cho phép kẻ tấn công tái liên kết bất kỳ bản ghi liên hệ hiện có nào với một ID người dùng WordPress tùy ý. Điều này tạo điều kiện cho những kẻ tấn công đã xác thực có quyền truy cập cấp Đại diện Bán hàng (Sales Representative) trở lên để upsert dòng liên hệ của chính họ trỏ đến ID người dùng của Quản trị viên, sau đó gọi điểm cuối kiểm tra email v4 (`POST /gh/v4/emails/test`) – cũng được vai trò Đại diện Bán hàng truy cập thông qua đặc quyền `send_emails` – để tạo khóa phân quyền một lần `{auto_login_url}` liên kết với liên hệ đã tái liên kết và sử dụng đường dẫn đó để gọi hàm `wp_set_auth_cookie()` nhằm chiếm phiên xác thực đầy đủ dưới danh nghĩa Quản trị viên WordPress.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.