CVE-2026-14281 — WAWP (منصة الويب الآلية) تصعيد الصلاحيات دون مصادقة

Python 3 PoC لـ CVE-2026-14281 في إضافة WordPress Automation Web Platform (automation-web-platform — WAWP / Notifications & OTP for WooCommerce).

PoCbit

مُدرج على PoCbit — كتالوج المجتمع: https://pocbit.org/pocs/

تشغيل PoC يطبع ترويسة PoCbit؛ أسطر JSONL تتضمن pocbit وpocbit_catalog وpocbit_page.

الملخص

معالج REST للتسجيل (public_permissions_check) يقبل wawp_custom_fields، ويحوّله إلى custom_fields_data، وبعد wp_insert_user() يكتب كل مفتاح باستخدام update_user_meta() دون قائمة سماح. يمكن للمهاجمين تعيين wp_capabilities و**wp_user_level** للحصول على صلاحيات administrator.

الكود ذو الصلة (4.8.6): includes/api/class-wawp-rest-settings-api.php (/signup/(?P<op>…))، includes/auth-services/class-wawp-otp-service.php (wawp_custom_fields → custom_fields_data)، includes/auth-services/class-wawp-signup.php (finish_registration_logic).

عند تفعيل OTP للتسجيل، قد يتوقف أول استدعاء signup عند otp_verify (تم إرسال التحدي) ولا يكتمل التسجيل إلا بعد OTP — قد تتطلب سلسلة admin الكاملة دون مصادقة تعطيل OTP أو تجاوز OTP منفصل. يُبلّغ PoC عن otp_required في تلك الحالة.

المتطلبات

pip install -r requirements.txt

Python 3.8+.

الاستخدام

# Version + REST surface + optional live signup probe (creates a throwaway user if OTP off)
python poc.py -u https://target.example --mode check

# Register admin-capable user (authorized targets only)
python poc.py -u https://target.example --mode exploit --verify

# Mass scan
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON to stdout (single target)
python poc.py -u https://target.example --mode check 2>nul

المخرجات

قيم الحالة (check)

تلميحات FOFA

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

قانوني

استخدم فقط على الأنظمة التي تملكها أو لديك إذن صريح باختبارها.