CVE-2026-14281

Resumen

La plataforma Automation Web Platform – Notifications and OTP for WooCommerce, el plugin Advanced Country Code para WordPress es vulnerable a escalada de privilegios en todas las versiones hasta la 4.8.6, inclusive. Esto se debe a la falta de aplicación de permisos en la ruta REST de acceso público `POST /wp-json/wawp/v1/signup/<op>` y a la ausencia de una lista de claves permitidas en la función `finish_registration_logic`, que copia el parámetro `wawp_custom_fields` controlado por el atacante directamente en `update_user_meta()`, lo que permite que el llamador establezca claves meta sensibles como `wp_capabilities` y `wp_user_level`. Esto hace posible que atacantes no autenticados registren una nueva cuenta con el rol de administrador y obtengan acceso administrativo total al sitio. Cuando la verificación por OTP está habilitada en el registro, el token de sesión OTP (`otp_transient`) se devuelve en texto plano en el cuerpo de la respuesta HTTP, y el manejador `handle_magic_link_request()` marca ese token como verificado en cualquier solicitud GET no autenticada que lo contenga, sin comprobar nunca el valor del código OTP, lo que hace que el paso de OTP sea trivialmente eludible sin necesidad de acceso al correo electrónico ni a SMS.

Fuentes

• CVE-2026-14281PoC

  Escalada de privilegios no autenticada en WordPress WAWP (Automation Web Platform) ≤ 4.8.6 mediante registro público en REST y wawp_custom_fields sin sanear → admin. PoC de verificación/exploit en Python (PoCbit).