CVE-2026-13333

Nome do Software Vulnerável e Versões Afetadas Groundhogg versões anteriores a 4.5.6

Descrição O plugin Groundhogg — CRM, Newsletters, and Marketing Automation para WordPress contém uma falha de SQL Injection. Atacantes autenticados com nível de acesso de Representante de Vendas ou superior podem anexar consultas SQL maliciosas a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL. O problema pode ser acionado por meio do parâmetro query[select]. Além disso, o caminho de código sanitizado Contact Query pode ser ignorado ao fornecer um tipo de filtro inválido no parâmetro query[filters][0][0][type], o que dispara uma FilterException e força a aplicação a utilizar o caminho Legacy Contact Query não sanitizado.

Recomendações Atualize o plugin para uma versão posterior à 4.5.5. Evite usar o parâmetro query[select] no plugin afetado até que a atualização seja aplicada.