CVE-2026-13226

Nome do Software Vulnerável e Versões Afetadas Groundhogg versões anteriores a 4.5.5

Description O plugin Groundhogg — CRM, Newsletters, and Marketing Automation para WordPress contém uma falha de SQL Injection. Isso ocorre porque o plugin não escapa adequadamente a entrada fornecida pelo usuário e carece de preparação suficiente da consulta SQL. Atacantes autenticados com nível de acesso Sales Manager ou superior podem anexar consultas SQL maliciosas para extrair informações sensíveis do banco de dados. Além disso, o manipulador AJAX wp ajax groundhogg get contacts table está com a verificação de capacidade desativada e não realiza a verificação de nonce, permitindo que qualquer usuário autenticado, independentemente de sua função, acesse o caminho de código vulnerável através do parâmetro after.

Recommendations Atualize o plugin para uma versão posterior à 4.5.4. Restrinja o acesso ao manipulador wp ajax groundhogg get contacts table para minimizar o risco de exploração.