CVE-2026-14281 — WAWP (Automation Web Platform) Élévation de privilèges non authentifiée

PoC Python 3 pour CVE-2026-14281 dans le plugin WordPress Automation Web Platform (automation-web-platform — WAWP / Notifications & OTP for WooCommerce).

PoCbit

Répertorié sur PoCbit — catalogue communautaire : https://pocbit.org/pocs/

L'exécution du PoC affiche un en-tête PoCbit ; les lignes JSONL incluent pocbit, pocbit_catalog et pocbit_page.

Résumé

Le gestionnaire REST d'inscription (public_permissions_check) accepte wawp_custom_fields, le mappe vers custom_fields_data, et après wp_insert_user() écrit chaque clé avec update_user_meta() sans liste d'autorisation. Les attaquants peuvent définir wp_capabilities et wp_user_level pour obtenir le rôle administrateur.

Code concerné (4.8.6) : includes/api/class-wawp-rest-settings-api.php (/signup/(?P<op>…)), includes/auth-services/class-wawp-otp-service.php (wawp_custom_fields → custom_fields_data), includes/auth-services/class-wawp-signup.php (finish_registration_logic).

Lorsque l'OTP d'inscription est activé, le premier appel signup peut s'arrêter à otp_verify (défi envoyé) et l'inscription ne se termine qu'après l'OTP — la chaîne complète d'admin non authentifié peut nécessiter que l'OTP soit désactivé ou un contournement OTP distinct. Le PoC signale otp_required dans ce cas.

Prérequis

pip install -r requirements.txt

Python 3.8+.

Utilisation

# Version + surface REST + sonde d'inscription live optionnelle (crée un utilisateur jetable si l'OTP est désactivé)
python poc.py -u https://target.example --mode check

# Enregistrer un utilisateur avec capacités admin (cibles autorisées uniquement)
python poc.py -u https://target.example --mode exploit --verify

# Scan de masse
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON vers stdout (cible unique)
python poc.py -u https://target.example --mode check 2>nul

Sortie

Valeurs de statut (check)

Indices FOFA

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

Légal

À utiliser uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite de test.