CVE-2026-97644

Nome do Software Vulnerável e Versões Afetadas Groundhogg — CRM, Newsletters, and Marketing Automation versões anteriores a 5.0

Descrição A escalação de privilégios é possível através do vínculo de identidade de contato. A função create contact no endpoint POST /gh/v3/contacts é protegida apenas pela capacidade add contacts e encaminha a carga útil completa da requisição, incluindo a variável user id, para a função Contacts DB::add(). Este processo ignora a guarda de propriedade utilizada em Contacts DB::update(), permitindo que usuários autenticados com nível de acesso de Representante de Vendas ou superior vinculem um registro de contato ao ID de usuário de um Administrador. Subsequentemente, um invasor pode usar o endpoint POST /gh/v4/emails/test, acessível via a capacidade send emails, para gerar um {auto login url}. Esta chave de permissão de uso único permite que o invasor chame wp set auth cookie() e obtenha uma sessão totalmente autenticada como Administrador do WordPress.

Recomendações Atualize o Groundhogg — CRM, Newsletters, and Marketing Automation para a versão 5.0 ou posterior.