Groundhogg: Beliebiges Löschen von Dateien über copy_file beim CSV-Import

Zusammenfassung

Das Groundhogg-Plugin für WordPress (CRM, Newsletter und Marketing-Automatisierung) prüft Dateipfade in seiner Funktion copy_file nicht ausreichend. Ein authentifizierter Benutzer mit Zugriff als Sales Representative oder höher oder jeder Benutzer mit der Berechtigung import_contacts kann beliebige Dateien auf dem Server löschen. Das Löschen kritischer Dateien wie wp-config.php kann leicht zu einer Remote Code Execution führen.

Betroffen

• Groundhogg-Plugin für WordPress, alle Versionen bis und mit 4.9.3

Behoben in

• Version 4.9.4 (veröffentlicht am 2026-10-13) gemäss Changelog des Herstellers, der eine Sicherheitskorrektur für das Kopieren von Dateien bei Importen, der REST API und Webhooks auflistet.

Umgehung

• Keine Workaround-Massnahme des Herstellers bekannt.
• Bis zur Installation des Updates den CSV-Import von Kontakten einschränken oder deaktivieren und die Berechtigung import_contacts aus Rollen entfernen, die sie nicht benötigen.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Einschätzung CISA SSVC: Exploitation none, Automatable no.
• Angreifer benötigen ein gültiges Konto mit mindestens der Rolle Sales Representative.

Unsere Empfehlung

• Groundhogg auf Version 4.9.4 oder neuer aktualisieren.
• Konten mit der Rolle Sales Representative oder der Berechtigung import_contacts prüfen und nicht benötigte Konten entfernen.
• Starke Passwörter und Zwei-Faktor-Authentifizierung für alle Mitarbeiterkonten durchsetzen.
• Kritische Dateien wie wp-config.php auf Änderungen überwachen und aktuelle Offline-Backups aufbewahren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Groundhogg commit e319e4a (fix and 4.9.4 changelog) github.com
• Wordfence threat intelligence record www.wordfence.com
• Groundhogg 4.9.3 file-box.php (copy_file) plugins.trac.wordpress.org
• Groundhogg 4.9.3 functions.php (file field handling) plugins.trac.wordpress.org
• Groundhogg changeset 3744461 (file-box.php) plugins.trac.wordpress.org
• CVE record on Vulners vulners.com
• CVE record on VulDB vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:55.