Vérificateur CVE-2026-14281

Un vérificateur de sécurité Python léger et compatible Windows pour identifier les installations WordPress susceptibles d'être affectées par CVE-2026-14281.

L'outil effectue des vérifications passives et non destructives. Il n'exploite pas la vulnérabilité, ne crée pas de comptes, ne modifie pas les privilèges et n'altère pas le site web cible.

Pour les tests de sécurité autorisés uniquement. Ne scannez que les sites web et systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite d'évaluation.

Fonctionnalités

🔎 Détecte les indicateurs WordPress
🔌 Détecte le plugin affecté
🏷️ Tente d'identifier la version installée du plugin
📄 Vérifie le fichier public readme.txt du plugin
🛡️ Détermine si la version détectée se situe dans la plage affectée connue
🪟 Conçu pour fonctionner correctement sous Windows CMD et PowerShell
🎨 Sortie terminal colorée compatible Windows via Colorama
🌐 Prise en charge optionnelle d'un proxy HTTP/HTTPS
📊 Sortie JSON pour l'automatisation et les workflows CI/CD
⏱️ Délai d'expiration HTTP configurable
🚫 Aucune requête d'exploitation
🚫 Aucune création de compte
🚫 Aucune modification de privilèges
🚫 Aucune tentative de contournement d'OTP

Informations sur la CVE

Champ	Détails
CVE	CVE-2026-14281
Produit	Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code
Versions affectées	≤ 4.8.6
Version corrigée connue	4.8.7+
Type de scanner	Passif / Non destructif

Le vérificateur utilise la version détectée du plugin pour déterminer si l'installation se situe dans la plage de versions affectées connue.

Un résultat POTENTIELLEMENT VULNÉRABLE signifie que la version détectée se situe dans la plage affectée. Cela ne remplace pas une évaluation de sécurité complète.

Prérequis

Python 3.9+
Accès Internet/réseau à la cible
requests
colorama

Systèmes d'exploitation pris en charge :

Windows 10 / 11
Linux
macOS

Installation

Clonez le dépôt :

git clone https://github.com/YOUR-USERNAME/CVE-2026-14281-checker.git
cd CVE-2026-14281-checker

Installez les dépendances :

py -m pip install -r requirements.txt

Sous Linux/macOS :

python3 -m pip install -r requirements.txt

Utilisation de base

Windows :

py CVE-2026-14281-check.py https://example.com

Linux/macOS :

python3 CVE-2026-14281-check.py https://example.com

Vous pouvez également fournir un nom d'hôte sans le schéma :

py CVE-2026-14281-check.py example.com

Le vérificateur le normalisera automatiquement.

Exemple de sortie

╔══════════════════════════════════════════════════════╗
║          CVE-2026-14281 SAFE CHECKER                 ║
║                                                      ║
║       WordPress Plugin Vulnerability Scanner         ║
╚══════════════════════════════════════════════════════╝

[*] Checking: https://example.com
[*] Mode: Passive / Non-destructive

Target: https://example.com
HTTP status: 200
WordPress: Detected
Plugin: Detected
Version: 4.8.6
Version source: readme.txt
Confidence: high
CVE status: POTENTIALLY VULNERABLE

Notes:
  • WordPress indicators detected.
  • Plugin readme.txt is accessible.
  • Version 4.8.6 is within the affected range <= 4.8.6.

[!] WARNING: Potentially vulnerable version detected.
[!] Recommended action: update the plugin and investigate the installation.

Options de ligne de commande

Délai d'expiration

Modifier le délai d'expiration HTTP :

py CVE-2026-14281-check.py https://example.com --timeout 20

Par défaut :

10 seconds

Proxy

Utile lors de l'inspection du trafic via Burp Suite ou un autre proxy HTTP autorisé :

py CVE-2026-14281-check.py https://example.com --proxy http://127.0.0.1:8080

Sortie JSON

Pour l'automatisation ou l'intégration avec d'autres outils de sécurité :

py CVE-2026-14281-check.py https://example.com --json

Exemple :

{
  "target": "https://example.com",
  "reachable": true,
  "wordpress_detected": true,
  "plugin_detected": true,
  "version": "4.8.6",
  "version_source": "readme.txt",
  "vulnerable": true,
  "confidence": "high",
  "http_status": 200,
  "notes": [
    "WordPress indicators detected.",
    "Plugin readme.txt is accessible.",
    "Version 4.8.6 is within the affected range <= 4.8.6."
  ]
}

Désactiver les couleurs

Si la sortie est redirigée vers un autre programme ou terminal :

py CVE-2026-14281-check.py https://example.com --no-color

Codes de sortie

Le vérificateur fournit des codes de sortie utiles pour les scripts et les environnements CI/CD.

Code	Signification
`0`	La cible n'est pas identifiée comme vulnérable
`1`	Version potentiellement vulnérable détectée
`2`	Erreur ou statut de vulnérabilité indéterminable
`130`	L'utilisateur a interrompu le scan

Exemple sous Windows :

py CVE-2026-14281-check.py https://example.com

if %ERRORLEVEL% EQU 1 echo Potential vulnerability detected

Fonctionnement de la détection

Le vérificateur ne tente pas d'exploiter CVE-2026-14281.

Il effectue à la place plusieurs vérifications passives :

1. Détection de WordPress

La page d'accueil est inspectée à la recherche d'indicateurs WordPress courants tels que :

wp-content
wp-includes
wp-json
les métadonnées du générateur WordPress

2. Détection du plugin

La réponse est inspectée à la recherche de références au répertoire du plugin affecté.

3. Détection de la version

Le vérificateur tente de déterminer la version installée à partir de :

les URL des ressources du plugin
le fichier public readme.txt

4. Évaluation de la version

Si une version est identifiée, elle est comparée à la plage affectée connue.

Version <= 4.8.6
        │
        ├── YES → Potentially vulnerable
        │
        └── NO  → Outside known affected range

Important : faux positifs et faux négatifs

Aucun vérificateur de version passif ne peut garantir qu'une cible est sécurisée.

Les limitations possibles incluent :

Les ressources du plugin peuvent être mises en cache.
Les informations de version peuvent être masquées.
readme.txt peut être inaccessible.
Un plugin de sécurité peut bloquer les requêtes.
Un proxy inverse/WAF peut modifier les réponses.
Le plugin peut être installé mais non détectable publiquement.
Un correctif de sécurité rétroporté peut exister sans changement de version.
Une version détectée peut ne pas représenter fidèlement le code actuellement exécuté.

Par conséquent :

UNKNOWN ne signifie pas sécurisé, et NOT IN AFFECTED VERSION RANGE ne constitue pas une évaluation de sécurité complète.

Pour une remédiation confirmée, vérifiez le plugin installé directement depuis l'environnement d'administration WordPress ou les informations du paquet/système de fichiers.

Sécurisé par conception

Ce projet évite intentionnellement toute exploitation active.

Il ne :

crée pas d'utilisateurs WordPress
attribue pas de privilèges d'administrateur
modifie pas les comptes existants
tente pas de contourner les OTP
envoie pas de charges utiles d'exploitation
modifie pas les paramètres du plugin
téléverse pas de fichiers
exécute pas de commandes sur la cible
supprime ni n'altère les données

L'objectif est l'identification des vulnérabilités, non leur exploitation.

Structure du projet

CVE-2026-14281-checker/
│
├── CVE-2026-14281-check.py
├── requirements.txt
├── README.md
├── LICENSE
└── .gitignore

CVE-2026-14281-check

Populaires