CVE-2026-97644

WordPress için Groundhogg — CRM, Newsletters, and Marketing Automation eklentisinin 4.9 sürümü dahil tüm önceki sürümleri, İletişim Kimliği Yeniden Bağlama (Contact Identity Rebinding) yoluyla Yetki Yükseltme zafiyetine sahiptir. Zafiyet, v3 REST uç noktasındaki (`POST /gh/v3/contacts`) `create_contact` fonksiyonunun yalnızca `add_contacts` yetkisiyle sınırlandırılmış olması ve güvenlik taşıyan `user_id` sütunu da dahil olmak üzere tüm istek yükünü `Contacts_DB::add()` fonksiyonunun upsert yoluna iletmesinden kaynaklanmaktadır; bu durum, `Contacts_DB::update()` tarafından uygulanan sahiplik korumasını atlayarak bir saldırganın mevcut herhangi bir iletişim kaydını rastgele bir WordPress kullanıcı kimliğine yeniden bağlamasına olanak tanır. Bu durum, Satış Temsilcisi (Sales Representative) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, kendi iletişim satırlarını bir Yönetici (Administrator) kullanıcı kimliğini gösterecek şekilde güncellemesini, ardından yine `send_emails` yetkisi aracılığıyla Satış Temsilcisi rolüne açık olan v4 e-posta test uç noktasını (`POST /gh/v4/emails/test`) çağırarak yeniden bağlanan iletişime bağlı tek seferlik bir `{auto_login_url}` izin anahtarı oluşturmasını ve bu bağlantıyı kullanarak `wp_set_auth_cookie()` fonksiyonunu çağırmasını ve WordPress Yöneticisi olarak tam yetkili bir oturum elde etmesini mümkün kılar.