CVE-2026-11454: Groundhogg — CRM, Newsletters, and Marketing Automation <= 4.5.2 - Insecure Direct Object Reference

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Wordfence). Не зависят от анализа CPE в NVD и обычно опережают его.

• trainingbusinesspros Groundhogg — CRM, Newsletters, and Marketing Automation

  • до 4.5.2 включительнозатронута · semver

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-104725Groundhogg <= 4.9 - Authenticated (Custom+) Privilege Escalation to 'user' Parameter
  35Наблюдать
• CVE-2026-97644Groundhogg <= 4.9 - Authenticated (Sales Person+) Privilege Escalation via Contact Identity Rebinding leading to Administrator Account Takeover to 'user_id' Par
  35Наблюдать
• CVE-2025-0394Groundhogg <= 3.7.3.5 - Authenticated (Author+) Arbitrary File Upload via gh_big_file_upload Function
  35Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-1333326 июн. 2026 г. · Groundhogg <= 4.5.5 - Authenticated (Sales Rep+) SQL Injection via 'query[select]' Parameter
  26Наблюдать
• ← РаньшеCVE-2026-140292 июл. 2026 г. · Groundhogg <= 4.5.8 - Authenticated (Custom+) SQL Injection via 'select' Parameter
  26Наблюдать
• Позже →CVE-2026-1838715 авг. 2026 г. · Groundhogg <= 4.5.14 - Authenticated (Vendor+) SQL Injection via 'tag_query' Parameter
  26Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.