CVE-2026-104725: Groundhogg <= 4.9 Rentan Eskalasi Hak Akses

CVE ID	CVE-2026-104725
Severity	HIGH — CVSS CVSS V3.1 8.8
Vector	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-269 CWE-269 Improper Privilege Management
Produk	trainingbusinesspros / Groundhogg — CRM, Newsletters, and Marketing Automation — 0 (affected)
Dipublikasikan	2026-10-10

Ringkasan Cepat

• CVE-2026-104725 adalah kerentanan privilege escalation di plugin WordPress Groundhogg versi hingga dan termasuk 4.9 dengan skor HIGH 8.8.
• Penyebabnya adalah missing ownership and capability check pada parameter user di fungsi process_edit(), sehingga pengguna terautentikasi dengan kapabilitas edit_contacts dapat mengubah tautan kontak ke ID pengguna WordPress arbitrer.
• Dampaknya, pengguna level sales_rep dan di atasnya berpotensi meningkatkan hak akses ke administrator; mitigasi utama adalah patch resmi, pembatasan peran, dan audit catatan kontak.

Ringkasan Kerentanan

CVE-2026-104725 adalah kerentanan privilege escalation yang tercatat pada plugin WordPress Groundhogg — CRM, Newsletters, and Marketing Automation. Judul CNA menyebut Groundhogg <= 4.9 - Authenticated (Custom+) Privilege Escalation to 'user' Parameter. Deskripsi resmi menyatakan semua versi hingga dan termasuk 4.9 terdampak.

Kerentanan ini diberi skor HIGH 8.8 dengan vektor CVSS V3.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H dan diklasifikasikan sebagai CWE-269: Improper Privilege Management. Tanggal publikasi: 10 Oktober 2026.

Dampak Teknis

Akar masalahnya adalah tidak adanya pemeriksaan kepemilikan dan kapabilitas pada parameter user di dalam fungsi process_edit(). Akibatnya, pengguna terautentikasi yang memiliki kapabilitas edit_contacts dapat mengubah ID pengguna WordPress yang tertaut ke sebuah catatan kontak ke akun arbitrer, tanpa memerlukan kapabilitas edit_users atau promote_users.

Menurut deskripsi resmi, hal ini memungkinkan pengguna dengan akses level sales_rep dan di atasnya untuk meningkatkan hak akses hingga administrator. Mekanismenya melibatkan pembuatan note yang memuat tag pengganti {auto_login_link}, yang memicu pembuatan URL permissions-key auto-login untuk kontak yang tertaut ke administrator. URL tersebut tersimpan di konten note dan dapat dibaca kembali melalui kapabilitas view_notes dan add_notes yang dimiliki role sales_rep secara default.

Dampak kerentanan mencakup hilangnya kerahasiaan, integritas, dan ketersediaan pada tingkat tinggi sesuai vektor CVSS C:H/I:H/A:H. Ini menjadikannya prioritas tinggi untuk situs WordPress yang menjalankan Groundhogg versi terdampak.

Produk Terdampak

Berdasarkan data CVE, produk yang terdampak adalah:

• Vendor: trainingbusinesspros
• Produk: Groundhogg — CRM, Newsletters, and Marketing Automation
• Versi: semua versi hingga dan termasuk 4.9

Deskripsi resmi menyebut kerentanan berlaku pada semua versi sampai 4.9. Jika situs Anda menggunakan plugin ini, verifikasi versi yang terpasang dan prioritaskan pembaruan ke rilis resmi yang menutup CVE-2026-104725.

Konteks dan Prioritas

Kerentanan ini memerlukan autentikasi, tetapi tidak memerlukan interaksi pengguna dan dapat dieksploitasi melalui jaringan dengan kompleksitas rendah. Skor HIGH 8.8 dan vektor PR:L menunjukkan bahwa aktor dengan hak akses rendah, seperti pengguna level sales_rep, sudah cukup untuk memicu risiko eskalasi.

Referensi resmi mencakup entri Wordfence Threat Intel dan beberapa tautan kode di Trac WordPress.org, termasuk file contacts-page.php, note.php, replacements.php, dan rewrites.php pada tag 4.9. Untuk pertahanan, fokuskan upaya pada patch, pembatasan peran, dan audit catatan kontak serta aktivitas login administrator.

Mitigasi dan Perbaikan

• Perbarui plugin Groundhogg ke rilis resmi dari vendor yang menutup CVE-2026-104725; jangan mempertahankan versi 4.9 atau versi lama yang terdampak.
• Jika patch belum tersedia, nonaktifkan sementara plugin Groundhogg atau batasi akses ke area admin plugin sampai pembaruan dapat diterapkan.
• Terapkan prinsip least privilege: tinjau akun dengan peran sales_rep dan kapabilitas edit_contacts, view_notes, serta add_notes, lalu hapus atau turunkan hak yang tidak diperlukan.
• Audit log dan catatan kontak untuk perubahan tautan pengguna WordPress, pembuatan note yang tidak wajar, dan aktivitas login administrator yang mencurigakan; rotasi kredensial admin jika ada indikasi kompromi.
• Aktifkan autentikasi multifaktor untuk administrator dan pantau pengumuman keamanan vendor serta Wordfence terkait CVE ini.

Referensi Resmi

• CVE-2026-104725 — CVE Program (cve.org)
• https://www.wordfence.com/threat-intel/vulnerabilities/id/715b4d10-b19a-4b37-8a76-985c37975c93?source=cve
• https://plugins.trac.wordpress.org/browser/groundhogg/tags/4.9/admin/contacts/contacts-page.php#L565
• https://plugins.trac.wordpress.org/browser/groundhogg/tags/4.9/admin/contacts/contacts-page.php#L507
• https://plugins.trac.wordpress.org/browser/groundhogg/tags/4.9/includes/classes/note.php#L58
• https://plugins.trac.wordpress.org/browser/groundhogg/tags/4.9/includes/replacements.php#L1811
• https://plugins.trac.wordpress.org/browser/groundhogg/tags/4.9/includes/rewrites.php#L471

Artikel ini disusun dari data publik CVE Program (cve.org). Selalu verifikasi patch resmi dari vendor sebelum menerapkan perubahan.

Pertanyaan yang Sering Diajukan (FAQ)

Apa itu CVE-2026-104725?

CVE-2026-104725 adalah kerentanan privilege escalation pada plugin WordPress Groundhogg — CRM, Newsletters, and Marketing Automation. Deskripsi resmi menyebut semua versi hingga dan termasuk 4.9 terdampak, dengan skor HIGH 8.8 dan klasifikasi CWE-269.

Versi Groundhogg mana yang terdampak?

Semua versi sampai dan termasuk 4.9, sesuai deskripsi resmi CVE. Produk terdaftar sebagai Groundhogg dari vendor trainingbusinesspros.

Apakah kerentanan ini bisa dieksploitasi tanpa autentikasi?

Tidak berdasarkan deskripsi resmi. Serangan memerlukan pengguna terautentikasi, khususnya dengan akses level sales_rep dan di atasnya serta kapabilitas edit_contacts. Namun, setelah terautentikasi, dampaknya dapat mencapai administrator.

Seberapa serius dampaknya?

Skornya HIGH 8.8 dengan vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Dampak kerahasiaan, integritas, dan ketersediaan dinilai tinggi, dan eskalasi hak akses dapat berujung pada pengambilalihan akun administrator.

Apakah sudah ada patch resmi?

Fakta yang tersedia tidak menyebutkan nomor versi patch. Karena itu, pantau pengumuman vendor Groundhogg dan Wordfence, lalu terapkan pembaruan resmi segera setelah tersedia.

Apa yang perlu diaudit jika mencurigai kompromi?

Periksa perubahan tautan ID pengguna WordPress pada catatan kontak, note yang memuat tag {auto_login_link}, serta aktivitas login administrator yang tidak wajar. Batasi kapabilitas view_notes dan add_notes pada peran yang benar-benar membutuhkannya.

English Version — CVE-2026-104725: Groundhogg <= 4.9 Vulnerable to Privilege Escalation

Quick Summary

• CVE-2026-104725 is a privilege escalation vulnerability in the WordPress plugin Groundhogg versions up to and including 4.9 with a HIGH score of 8.8.
• The cause is missing ownership and capability checks on the user parameter in the process_edit() function, allowing an authenticated user with edit_contacts capability to change a contact's linked WordPress user ID to an arbitrary account.
• As a result, users at the sales_rep level and above may escalate privileges to administrator; primary mitigations are the official patch, role restrictions, and auditing contact records.

Vulnerability Summary

CVE-2026-104725 is a privilege escalation vulnerability recorded in the WordPress plugin Groundhogg — CRM, Newsletters, and Marketing Automation. The CNA title states Groundhogg <= 4.9 - Authenticated (Custom+) Privilege Escalation to 'user' Parameter. The official description states that all versions up to and including 4.9 are affected.

This vulnerability is scored HIGH 8.8 with the CVSS V3.1 vector CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H and is classified as CWE-269: Improper Privilege Management. Publication date: October 10, 2026.

Technical Impact

The root cause is the absence of ownership and capability checks on the user parameter within the process_edit() function. As a result, an authenticated user with the edit_contacts capability can change the WordPress user ID linked to a contact record to an arbitrary account, without requiring the edit_users or promote_users capability.

According to the official description, this allows users with sales_rep level access and above to escalate privileges up to administrator. The mechanism involves creating a note containing the {auto_login_link} replacement tag, which triggers the generation of an auto-login permissions-key URL for the contact linked to an administrator. That URL is stored in the note content and can be read back via the view_notes and add_notes capabilities that the sales_rep role has by default.

The vulnerability's impact includes loss of confidentiality, integrity, and availability at a high level according to the CVSS vector C:H/I:H/A:H. This makes it a high priority for WordPress sites running affected versions of Groundhogg.

Affected Products

Based on the CVE data, the affected products are:

• Vendor: trainingbusinesspros
• Product: Groundhogg — CRM, Newsletters, and Marketing Automation
• Version: all versions up to and including 4.9

The official description states that the vulnerability applies to all versions up to 4.9. If your site uses this plugin, verify the installed version and prioritize updating to the official release that closes CVE-2026-104725.

Context and Priority

This vulnerability requires authentication, but it does not require user interaction and can be exploited over the network with low complexity. The HIGH 8.8 score and PR:L vector indicate that an actor with low privileges, such as a user at the sales_rep level, is sufficient to trigger the escalation risk.

Official references include the Wordfence Threat Intel entry and several code links in the WordPress.org Trac, including the contacts-page.php, note.php, replacements.php, and rewrites.php files at the 4.9 tag. For defense, focus efforts on patching, role restrictions, and auditing contact records and administrator login activity.

Mitigation

• Update the Groundhogg plugin to the official vendor release that closes CVE-2026-104725; do not retain version 4.9 or older affected versions.
• If a patch is not yet available, temporarily disable the Groundhogg plugin or restrict access to the plugin admin area until the update can be applied.
• Apply the principle of least privilege: review accounts with the sales_rep role and the edit_contacts, view_notes, and add_notes capabilities, then remove or lower unnecessary permissions.
• Audit logs and contact records for changes to linked WordPress user IDs, unusual note creation, and suspicious administrator login activity; rotate admin credentials if there is any indication of compromise.
• Enable multifactor authentication for administrators and monitor vendor and Wordfence security announcements regarding this CVE.

FAQ (English)

What is CVE-2026-104725?

CVE-2026-104725 is a privilege escalation vulnerability in the WordPress plugin Groundhogg — CRM, Newsletters, and Marketing Automation. The official description states that all versions up to and including 4.9 are affected, with a HIGH 8.8 score and CWE-269 classification.

Which versions of Groundhogg are affected?

All versions up to and including 4.9, according to the official CVE description. The product is listed as Groundhogg from vendor trainingbusinesspros.

Can this vulnerability be exploited without authentication?

No, according to the official description. The attack requires an authenticated user, specifically with sales_rep level access and above and the edit_contacts capability. However, once authenticated, the impact can reach administrator.

How severe is the impact?

The score is HIGH 8.8 with the CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H vector. Confidentiality, integrity, and availability impacts are rated high, and privilege escalation can lead to administrator account takeover.

Is there an official patch?

The available facts do not mention a patch version number. Therefore, monitor Groundhogg vendor and Wordfence announcements, and apply the official update as soon as it is available.

What should be audited if compromise is suspected?

Check for changes to WordPress user ID links in contact records, notes containing the {auto_login_link} tag, and abnormal administrator login activity. Restrict the view_notes and add_notes capabilities to roles that truly need them.