Groundhogg WordPress-Plugin: Rechteausweitung über Support-Benutzer-Übernahme

Zusammenfassung

Groundhogg, ein CRM- und Marketing-Automation-Plugin für WordPress, bis und mit Version 4.8.3 erkennt das Support-Konto nur anhand eines fest codierten Logins 'groundhogg' und fest codierter Support-E-Mail-Adressen. Da Benutzer ihre E-Mail-Adresse selbst festlegen, kann ein Angreifer mit einem solchen Konto stillschweigend zum Administrator befördert werden, wenn ein legitimer Administrator die Support-Zugangsfunktion nutzt; auf Multisite kann dies bis zum Super-Administrator führen. Eine erfolgreiche Ausnutzung führt zur vollständigen Übernahme der Website; der Angreifer benötigt zuerst ein Konto mit passendem Login und passender E-Mail-Adresse, was bei aktivierter offener Registrierung möglich ist.

Betroffen

• Groundhogg-Plugin bis und mit Version 4.8.3
• Auch Multisite-Installationen sind betroffen (Eskalation zum Super-Administrator möglich)

Behoben in

• Behoben im Commit 4b413aa6e; Herstellerquellen nennen Version 4.8.4 als behoben, noch nicht gegen das Changelog des Herstellers bestätigt
• Spätere Groundhogg-Versionen weisen weitere offene Schwachstellen auf; neueste Version verwenden

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden; einzige genannte Behebung ist das Patchen.
• Übergangsweise: offene Benutzerregistrierung deaktivieren, Konten mit Login 'groundhogg' oder den Support-E-Mail-Adressen prüfen und Administratorrechte einschränken

Ausnutzung

• Zum Zeitpunkt der Recherche keine Ausnutzung in freier Wildbahn bekannt
• Kein öffentlicher Proof of Concept gefunden
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Laut einem Aggregator nicht im CISA-KEV-Katalog aufgeführt

Unsere Empfehlung

• Alle Groundhogg-Installationen und deren Versionen erfassen
• Auf die neueste Version aktualisieren, nicht nur auf 4.8.4, und die Version am Changelog des Herstellers prüfen
• Konten mit Login 'groundhogg' oder den Support-E-Mail-Adressen prüfen und alle Administratorkonten überprüfen
• Offene Benutzerregistrierung deaktivieren, wo sie nicht benötigt wird
• Websites mit offener Registrierung, Multisite-Netzwerke oder viele Administratoren priorisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix privilege escalation via support user impersonation (GitHub commit) github.com
• Wordfence threat intelligence record www.wordfence.com
• OSV record CVE-2026-92975 osv.dev
• VulDB CVE-2026-92975 vuldb.com
• OpenCVE CVE-2026-92975 app.opencve.io
• Strix CVE-2026-92975 www.strix.ai
• Red Packet Security CVE alert www.redpacketsecurity.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:16.