CVE-2026-14281

Résumé

La plateforme Web Automation – Notifications and OTP for WooCommerce, plugin Advanced Country Code pour WordPress est vulnérable à une élévation de privilèges dans toutes les versions jusqu'à la 4.8.6 incluse. Cela est dû à l'absence de contrôle des permissions sur la route REST accessible publiquement `POST /wp-json/wawp/v1/signup/<op>` et à l'absence de liste d'autorisation de clés dans la fonction `finish_registration_logic`, qui copie directement le paramètre `wawp_custom_fields` contrôlé par l'attaquant dans `update_user_meta()` — permettant à l'appelant de définir des clés de métadonnées sensibles telles que `wp_capabilities` et `wp_user_level`. Cela permet à des attaquants non authentifiés d'enregistrer un nouveau compte avec le rôle d'administrateur et d'obtenir un accès administratif complet au site. Lorsque la vérification OTP est activée à l'inscription, le jeton de session OTP (`otp_transient`) est renvoyé en clair dans le corps de la réponse HTTP, et le gestionnaire `handle_magic_link_request()` marque ce jeton comme vérifié sur toute requête GET non authentifiée le contenant, sans jamais vérifier la valeur du code OTP — rendant l'étape OTP trivialement contournable sans aucun accès à la boîte de réception ou aux SMS.

Sources

• CVE-2026-14281PoC

  Escalade de privilèges non authentifiée dans WordPress WAWP (Automation Web Platform) ≤ 4.8.6 via l'inscription publique REST et wawp_custom_fields non assaini → admin. PoC Python de vérification/exploitation (PoCbit).