abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-81294

CVE-2026-81294 — WordPress

WordPress — Authorizer 3.15.1 — Paul Ryan

Élévation de privilèges non authentifiée dans Authorizer <= 3.15.1.

Avis (issu de la source map)

GitHub emails[] sans verified est le sink divulgué. Le lab est un OAuth2 générique avec la même vérification email_verified manquante. HTTP est GET wp-login.php?external=oauth2.

Entrée

• Méthode : GET
• Chemin : /wp-login.php?external=oauth2
• Routeur : filtre authenticate custom_authenticate_oauth2. 3.15.1 mappait l'API GitHub emails entry.email sans vérifier entry.verified. Le lab utilise un OAuth2 générique avec la même vérification manquante. 3.15.2 filtre empty(entry.verified) pour GitHub et ajoute oauth2_require_verified_email pour le générique.
• Notes : CVE-2026-81294 CWE-266 Authorizer 3.15.1. Élévation de privilèges non authentifiée via un email OAuth2 non vérifié correspondant à un admin. Témoin POCWitness81294. Corrigé en 3.15.2.

Chaîne d'appels

• GET /wp-login.php?external=oauth2 (keep PHPSESSID)
• 302 /oauth-mock/authorize then 302 back with code+state
• WP exchanges token, userinfo [email protected] unverified
• get_user_by email admin, wp_set_auth_cookie
• GET /?auth_lab=1 POCWitness81294

Préconditions du lab

• Authorizer 3.15.1
• oauth2=1 provider=generic mock URLs
• admin email [email protected] display_name=POCWitness81294

Témoin

GET /?auth_lab=1 après OAuth est POCWitness81294. Le HTML de la page de connexion sans cette chaîne n'est pas le témoin.

Pas un succès

• formulaire de connexion 200 sans cookie
• oauth2_email_not_verified
• empty_username
• reverse shell

Correctif / remédiation

À faire en premier : mettre à jour Authorizer vers 3.15.2 ou une version ultérieure.

Vérifier après la mise à niveau

• Relancer CVE-2026-81294-Abraxas-Labs.py contre la version corrigée : le témoin mappé ne doit pas apparaître.
• Confirmer l'avis du fournisseur / le changeset dans l'arborescence déployée (voir les références).
• Une signature WAF est un délai, pas un correctif.

Si vous ne pouvez pas mettre à jour immédiatement

• Désactiver ou isoler le composant affecté.
• Rechercher la condition témoin en production (nouveaux utilisateurs privilégiés, fichiers inattendus, lignes injectées — tout ce que nomme la carte de ce CVE).

Reproduction (lab autorisé)

Cibler uniquement http://127.0.0.1:8088 (ou le loopback que vous avez lié). Ne pointez pas ce script vers Internet.

python3 CVE-2026-81294-Abraxas-Labs.py

Le succès est le témoin ci-dessus dans le corps de la réponse. Un HTML 200 générique n'est pas le témoin.

Images du lab

Pile loopback utilisée pour la reproduction. Images officielles sauf si un Dockerfile dans ce dossier construit depuis les sources.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

Lier l'arborescence du produit vulnérable à côté de Compose si le YAML monte un répertoire local (zip du plugin / tag source issu du tableau des versions). Ne publier rien d'autre que 127.0.0.1.

Références

• CVE-2026-81294 · NVD

• CVE-2026-81294 · CVE.org

• patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve

• github.com/advisories/GHSA-xppg-27gw-vxcj

• nvd.nist.gov/vuln/detail/CVE-2026-81294

• Répertoire de plugins : authorizer

• Navigateur Trac : plugins.trac.wordpress.org/authorizer

• Tags SVN : plugins.svn.wordpress.org/authorizer

• Abraxas Labs : abraxaslabs.tech · github.com/abraxas · @abraxas_null

Enregistrements (structurés)

# CVE-2026-81294  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-81294`
- CWE: CWE-266
- published: 2026-09-02T12:17:12.783

## NVD description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## MITRE description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## Affected

- Paul Ryan Authorizer n/a affected

## References (JSON sources only)

- https://patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-xppg-27gw-vxcj
- https://nvd.nist.gov/vuln/detail/CVE-2026-81294

## GitHub advisory

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

Licence

Ce pack de divulgation est sous licence GNU Affero General Public License v3.0. Voir LICENSE.

Avertissement

Ce pack est destiné au fournisseur, au propriétaire du site et aux labs sous licence. Le script communique avec 127.0.0.1. L'utiliser contre des systèmes que vous ne possédez pas n'est pas autorisé par Abraxas Labs. Aucune garantie.

abraxaslabs.tech · github.com/abraxas · @abraxas_null