CVE-2026-97644

WordPress üçün nəzərdə tutulmuş Groundhogg — CRM, Newsletters, and Marketing Automation plagini 4.9 versiyası daxil olmaqla bütün versiyalarda Kontakt Kimliyinin Yenidən Bağlanması (Contact Identity Rebinding) vasitəsilə İmtiyazların Yüksəldilməsi zəifliyinə malikdir. Zəiflik ondan qaynaqlanır ki, v3 REST son nöqtəsindəki (`POST /gh/v3/contacts`) `create_contact` funksiyası yalnız `add_contacts` imkanına əsasən məhdudlaşdırılıb və təhlükəsizlik üçün vacib olan `user_id` sütunu da daxil olmaqla bütün sorğu yükünü `Contacts_DB::add()`-nin upsert yoluna ötürür. Bu proses `Contacts_DB::update()` tərəfindən tətbiq edilən mülkiyyət qorumasını yan keçərək hücum edən şəxsə hər hansı mövcud kontakt qeydini istənilən WordPress istifadəçi ID-sinə yenidən bağlamağa imkan verir. Bu, Satış Nümayəndəsi (Sales Representative) və daha yuxarı səviyyəli girişə malik autentifikasiya olunmuş hücumçulara öz kontakt sətirlərini Administratorun istifadəçi ID-sinə yönləndirməyə, daha sonra isə `send_emails` imkanı vasitəsilə Satış Nümayəndəsi rolu üçün də əlçatan olan v4 e-poçt test son nöqtəsini (`POST /gh/v4/emails/test`) çağıraraq yenidən bağlanmış kontakta bağlı bir dəfəlik icazə açarı olan `{auto_login_url}` yaratmağa və həmin keçiddən istifadə edərək `wp_set_auth_cookie()` funksiyasını çağırmaqla WordPress Administratoru kimi tam autentifikasiya olunmuş sessiya əldə etməyə imkan verir.