abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-81294

CVE-2026-81294 — WordPress

WordPress — Authorizer 3.15.1 — Paul Ryan

تصعيد صلاحيات بدون مصادقة في Authorizer <= 3.15.1.

الإشعار (من خريطة المصدر)

GitHub emails[] بدون verified هو المصدر المُفصَح عنه. المختبر هو OAuth2 عام بنفس فحص email_verified المفقود. HTTP هو GET wp-login.php?external=oauth2.

المدخل

• الطريقة: GET
• المسار: /wp-login.php?external=oauth2
• الموجّه: مرشّح authenticate المخصص custom_authenticate_oauth2. في 3.15.1 تم ربط entry.email من واجهة GitHub emails API دون التحقق من entry.verified. يستخدم المختبر OAuth2 عام بنفس التحقق المفقود. في 3.15.2 يتم تصفية empty(entry.verified) لـ GitHub وإضافة oauth2_require_verified_email للعام.
• ملاحظات: CVE-2026-81294 CWE-266 Authorizer 3.15.1. تصعيد صلاحيات بدون مصادقة عبر بريد OAuth2 غير موثّق يطابق مسؤولًا. الشاهد POCWitness81294. تم الترقيع في 3.15.2.

سلسلة الاستدعاء

• GET /wp-login.php?external=oauth2 (keep PHPSESSID)
• 302 /oauth-mock/authorize then 302 back with code+state
• WP exchanges token, userinfo [email protected] unverified
• get_user_by email admin, wp_set_auth_cookie
• GET /?auth_lab=1 POCWitness81294

شروط المختبر المسبقة

• Authorizer 3.15.1
• oauth2=1 provider=generic mock URLs
• admin email [email protected] display_name=POCWitness81294

الشاهد

GET /?auth_lab=1 بعد OAuth هو POCWitness81294. صفحة تسجيل الدخول HTML بدون تلك السلسلة ليست هي.

ليس نجاحًا

• نموذج تسجيل الدخول 200 بدون كوكي
• oauth2_email_not_verified
• empty_username
• reverse shell

الترقيع / المعالجة

افعل هذا أولًا: حدّث Authorizer إلى 3.15.2 أو أحدث.

تحقق بعد الترقية

• أعد تشغيل CVE-2026-81294-Abraxas-Labs.py مقابل البناء المُرقَّع: يجب ألا يظهر الشاهد المربوط.
• أكّد إشعار المورّد / changeset في الشجرة المنشورة (انظر المراجع).
• توقيع WAF هو تأخير، وليس ترقيعًا.

إذا لم تستطع التحديث فورًا

• عطّل أو اعزل المكوّن المتأثر.
• ابحث عن حالة الشاهد في الإنتاج (مستخدمون مميزون جدد، ملفات غير متوقعة، صفوف مُدخلة — أيًا كان ما تسميه خريطة هذا CVE).

إعادة الإنتاج (مختبر مصرّح به)

استهدف فقط http://127.0.0.1:8088 (أو الـ loopback الذي ربطته). لا توجّه هذا السكربت إلى الإنترنت.

python3 CVE-2026-81294-Abraxas-Labs.py

النجاح هو الشاهد أعلاه في جسم الاستجابة. HTML العام 200 ليس هو.

صور المختبر

حزمة loopback المستخدمة لإعادة الإنتاج. صور رسمية ما لم يبنِ Dockerfile في هذا المجلد من المصدر.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

اربط شجرة المنتج المتأثر بجانب Compose إذا كان YAML يربط مجلدًا محليًا (plugin zip / source tag من جدول الإصدارات). لا تنشر شيئًا عدا 127.0.0.1.

المراجع

• CVE-2026-81294 · NVD

• CVE-2026-81294 · CVE.org

• patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve

• github.com/advisories/GHSA-xppg-27gw-vxcj

• nvd.nist.gov/vuln/detail/CVE-2026-81294

• دليل الإضافات: authorizer

• متصفح Trac: plugins.trac.wordpress.org/authorizer

• وسوم SVN: plugins.svn.wordpress.org/authorizer

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

السجلات (منظمة)

# CVE-2026-81294  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-81294`
- CWE: CWE-266
- published: 2026-09-02T12:17:12.783

## NVD description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## MITRE description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## Affected

- Paul Ryan Authorizer n/a affected

## References (JSON sources only)

- https://patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-xppg-27gw-vxcj
- https://nvd.nist.gov/vuln/detail/CVE-2026-81294

## GitHub advisory

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

الترخيص

حزمة الإفصاح هذه مرخّصة بموجب GNU Affero General Public License v3.0. انظر LICENSE.

إخلاء المسؤولية

هذه الحزمة مخصّصة للمورّد، ومالك الموقع، والمختبرات المرخّصة. يتواصل السكربت مع 127.0.0.1. استخدامه ضد أنظمة لا تملكها غير مصرّح به من Abraxas Labs. لا ضمان.

abraxaslabs.tech · github.com/abraxas · @abraxas_null