CVE-2026-14281 — WAWP (Automation Web Platform) अनधिकृत विशेषाधिकार वृद्धि

WordPress प्लगइन Automation Web Platform (automation-web-platform — WAWP / Notifications & OTP for WooCommerce) में CVE-2026-14281 के लिए Python 3 PoC।

PoCbit

PoCbit पर सूचीबद्ध — समुदाय कैटलॉग: https://pocbit.org/pocs/

PoC चलाने पर एक PoCbit हेडर प्रिंट होता है; JSONL पंक्तियों में pocbit, pocbit_catalog, और pocbit_page शामिल होते हैं।

सारांश

साइनअप REST हैंडलर (public_permissions_check) wawp_custom_fields स्वीकार करता है, इसे custom_fields_data में मैप करता है, और wp_insert_user() के बाद बिना किसी allowlist के प्रत्येक key को update_user_meta() से लिखता है। हमलावर administrator प्राप्त करने के लिए wp_capabilities और wp_user_level सेट कर सकते हैं।

संबंधित कोड (4.8.6): includes/api/class-wawp-rest-settings-api.php (/signup/(?P<op>…)), includes/auth-services/class-wawp-otp-service.php (wawp_custom_fields → custom_fields_data), includes/auth-services/class-wawp-signup.php (finish_registration_logic)।

जब signup OTP सक्षम होता है, तो पहला signup कॉल otp_verify पर रुक सकता है (चैलेंज भेजा गया) और पंजीकरण केवल OTP के बाद पूरा होता है — पूरी unauth admin चेन के लिए OTP अक्षम होना या अलग OTP bypass की आवश्यकता हो सकती है। उस स्थिति में PoC otp_required रिपोर्ट करता है।

आवश्यकताएँ

pip install -r requirements.txt

Python 3.8+।

उपयोग

# Version + REST surface + optional live signup probe (creates a throwaway user if OTP off)
python poc.py -u https://target.example --mode check

# Register admin-capable user (authorized targets only)
python poc.py -u https://target.example --mode exploit --verify

# Mass scan
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON to stdout (single target)
python poc.py -u https://target.example --mode check 2>nul

आउटपुट

Status मान (check)

FOFA संकेत

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

कानूनी

केवल उन सिस्टम पर उपयोग करें जिनके आप स्वामी हैं या जिनका परीक्षण करने की आपको स्पष्ट अनुमति है।