CVE-2026-104725

WordPress üçün nəzərdə tutulmuş Groundhogg — CRM, Newsletters, and Marketing Automation plagini 4.9 versiyası daxil olmaqla bütün versiyalarda imtiyazların yüksəldilməsi zəifliyinə malikdir. Bu, `process_edit()` funksiyasındakı `user` parametrində mülkiyyət və səlahiyyət yoxlamasının olmaması ilə bağlıdır ki, bu da `edit_contacts` səlahiyyətinə malik hər hansı autentifikasiya olunmuş istifadəçiyə `edit_users` və ya `promote_users` səlahiyyətləri tələb olunmadan kontakt qeydinin əlaqəli WordPress istifadəçi ID-sini istənilən ixtiyari hesaba yenidən təyin etməyə imkan verir. Bu, sales_rep səviyyəli və daha yüksək giriş hüququna malik autentifikasiya olunmuş hücumçulara bir kontaktı administratorun WordPress istifadəçi ID-si ilə əlaqələndirməklə, sonra administratorla əlaqəli kontakt üçün keçərli avto-giriş icazə açarı URL-nin yaradılmasını tətikləmək məqsədilə `{auto_login_link}` əvəzləmə teqi olan qeyd yaratmaqla və sonda həmin URL-ə daxil olaraq hədəf administrator kimi autentifikasiya olunmaqla öz imtiyazlarını administrator səviyyəsinə yüksəltməsinə şərait yaradır. Avto-giriş URL-i qeydin məzmununda saxlanılır və sales_rep rolunun standart olaraq sahib olduğu `view_notes` və `add_notes` səlahiyyətləri vasitəsilə hücumçu tərəfindən oxuna bilir.