CVE-2026-14281 — WAWP (Automation Web Platform) Unauthentifizierte Privilegienausweitung

Python-3-PoC für CVE-2026-14281 im WordPress-Plugin Automation Web Platform (automation-web-platform — WAWP / Notifications & OTP for WooCommerce).

PoCbit

Gelistet auf PoCbit — Community-Katalog: https://pocbit.org/pocs/

Beim Ausführen des PoC wird ein PoCbit-Header ausgegeben; JSONL-Zeilen enthalten pocbit, pocbit_catalog und pocbit_page.

Zusammenfassung

Der Signup-REST-Handler (public_permissions_check) akzeptiert wawp_custom_fields, mappt es auf custom_fields_data und schreibt nach wp_insert_user() jeden Schlüssel mit update_user_meta() ohne Allowlist. Angreifer können wp_capabilities und wp_user_level setzen, um Administrator-Rechte zu erlangen.

Relevanter Code (4.8.6): includes/api/class-wawp-rest-settings-api.php (/signup/(?P<op>…)), includes/auth-services/class-wawp-otp-service.php (wawp_custom_fields → custom_fields_data), includes/auth-services/class-wawp-signup.php (finish_registration_logic).

Wenn Signup-OTP aktiviert ist, kann der erste signup-Aufruf bei otp_verify stoppen (Challenge gesendet) und die Registrierung erst nach OTP abgeschlossen werden — die vollständige Unauth-Admin-Kette kann erfordern, dass OTP deaktiviert ist oder ein separater OTP-Bypass existiert. Der PoC meldet in diesem Fall otp_required.

Voraussetzungen

pip install -r requirements.txt

Python 3.8+.

Verwendung

# Version + REST-Oberfläche + optionaler Live-Signup-Probe (erstellt einen Wegwerf-Benutzer, wenn OTP aus)
python poc.py -u https://target.example --mode check

# Admin-fähigen Benutzer registrieren (nur autorisierte Ziele)
python poc.py -u https://target.example --mode exploit --verify

# Massenscan
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON nach stdout (einzelnes Ziel)
python poc.py -u https://target.example --mode check 2>nul

Ausgabe

Statuswerte (check)

FOFA-Hinweise

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

Rechtliches

Nur auf Systemen verwenden, die Sie besitzen oder für die Sie eine ausdrückliche Testgenehmigung haben.