Groundhogg eklentisinde yetki yükseltme açığı
- Yayınlandı:
Groundhogg eklentisinin 4.9 ve önceki sürümlerinde yetki yükseltme açığı bildirildi. Kayıt CVE-2026-97644 numarasıyla 3 Ekim 2026 tarihinde NVD’de yayımlandı; önem derecesi yüksek (CVSS 8,8).
İstismar için sitede oturum açmış bir hesap gerekir. WordPress.org’daki güncel sürüm 4.9.1 (3 Ekim 2026 itibarıyla); kayda göre bu sürüm etkilenen aralığın dışında. Bu sürüme güncellemek açığı kapatır.
Özet bilgiler
- Eklenti
- Groundhogg
- Etkin kurulum (WordPress.org)
- 2.000+
- Etkilenen sürümler
- 4.9 ve öncesi
- Güncel sürüm (3 Ekim 2026)
- 4.9.1
- Önem derecesi
- Yüksek · CVSS 8,8
- Açık türü
- yetki yükseltme
- Gereken yetki
- Oturum açmış kullanıcı
- CVE
- CVE-2026-97644
Açık türü: yetki yükseltme
Düşük yetkili bir kullanıcı kendine — çoğu zaman yönetici düzeyinde — daha yüksek yetkiler kazandırabilir.
Ne yapmalı?
Etkilenip etkilenmediğinizi kontrol edin
Eklentiler › Kurulu eklentiler ekranında Groundhogg eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.
Güncelleyin
Önce yedek alın, ardından Eklentiler › Kurulu eklentiler ekranındaki “Şimdi güncelle” bağlantısıyla güncelleyin.
Otomatik güncellemeyi açın
Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.
Belirtilere bakın
Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.
Sitenizin etkilenip etkilenmediğinden emin değil misiniz?
Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.
WordPress için geliştirilen “Groundhogg — CRM, Newsletters, and Marketing Automation” eklentisi, 4.9'a kadar olan tüm sürümlerde, "Contact Identity Rebinding" yoluyla ayrıcalık yükseltme saldırılarına karşı savunmasızdır. Bu güvenlik açığı, v3 REST uç noktasında (`POST /gh/v3/contacts`) bulunan `create_contact` işlevinin yalnızca `add_contacts` yetkisiyle sınırlandırılması ve güvenlik bilgisi içeren `user_id` sütunu da dahil olmak üzere tam istek yükünü — `Contacts_DB::add()` işlevinin upsert yoluna iletir; bu da `Contacts_DB::update()` işlevinin uyguladığı sahiplik korumasını atlatarak, bir saldırganın mevcut herhangi bir kişi kaydını rastgele bir WordPress kullanıcı kimliğine yeniden bağlamasına olanak tanır. Bu durum, Satış Temsilcisi düzeyinde veya daha yüksek erişim iznine sahip, kimlik doğrulaması yapılmış saldırganların kendi kişi satırlarını bir Yönetici kullanıcı kimliğine yönlendirecek şekilde ekleyip güncelleyebilmelerini ve ardından v4 e-posta testi uç noktasını (`POST /gh/v4/emails/test`) — bu uç noktaya Satış Temsilcisi rolü de `send_emails` yetkisi aracılığıyla erişebilir — yeniden bağlanan kişiye bağlı bir `{auto_login_url}` tek kullanımlık izin anahtarı oluşturmak ve bu bağlantıyı kullanarak `wp_set_auth_cookie()` işlevini çağırarak WordPress Yöneticisi olarak tam kimlik doğrulamalı bir oturum elde etmelerini mümkün kılar.Özgün metin (İngilizce)
The Groundhogg — CRM, Newsletters, and Marketing Automation plugin for WordPress is vulnerable to Privilege Escalation via Contact Identity Rebinding in all versions up to, and including, 4.9 The vulnerability exists because the `create_contact` function in the v3 REST endpoint (`POST /gh/v3/contacts`) is gated solely by the `add_contacts` capability and forwards the full request payload — including the security-bearing `user_id` column — into the upsert path of `Contacts_DB::add()`, which bypasses the ownership guard that `Contacts_DB::update()` enforces, allowing an attacker to rebind any existing contact record to an arbitrary WordPress user ID. This makes it possible for authenticated attackers with Sales Representative-level access and above to upsert their own contact row to point to an Administrator's user ID, then invoke the v4 email-test endpoint (`POST /gh/v4/emails/test`) — also accessible to the Sales Representative role via the `send_emails` capability — to generate an `{auto_login_url}` one-time permissions key bound to the rebound contact, and consume that link to call `wp_set_auth_cookie()` and gain a fully authenticated session as the WordPress Administrator.
Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 3 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.