CVE-2026-14281 Checker

Un checker di sicurezza Python leggero e compatibile con Windows per identificare installazioni WordPress che potrebbero essere interessate da CVE-2026-14281.

Lo strumento esegue controlli passivi e non distruttivi. Non sfrutta la vulnerabilità, non crea account, non modifica privilegi e non altera il sito web di destinazione.

Solo per test di sicurezza autorizzati. Scansiona esclusivamente siti web e sistemi di tua proprietà o per i quali hai esplicita autorizzazione alla valutazione.

Funzionalità

🔎 Rileva indicatori di WordPress
🔌 Rileva il plugin interessato
🏷️ Tenta di identificare la versione del plugin installata
📄 Controlla il file pubblico readme.txt del plugin
🛡️ Determina se la versione rilevata rientra nell'intervallo noto interessato
🪟 Progettato per funzionare correttamente su Windows CMD e PowerShell
🎨 Output colorato del terminale compatibile con Windows tramite Colorama
🌐 Supporto opzionale per proxy HTTP/HTTPS
📊 Output JSON per automazione e flussi di lavoro CI/CD
⏱️ Timeout HTTP configurabile
🚫 Nessuna richiesta di exploit
🚫 Nessuna creazione di account
🚫 Nessuna modifica dei privilegi
🚫 Nessun tentativo di bypass OTP

Informazioni sulla CVE

Campo	Dettagli
CVE	CVE-2026-14281
Prodotto	Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code
Versioni interessate	≤ 4.8.6
Versione corretta nota	4.8.7+
Tipo di scanner	Passivo / Non distruttivo

Il checker utilizza la versione del plugin rilevata per determinare se l'installazione rientra nell'intervallo di versioni note come interessate.

Un risultato POTENTIALLY VULNERABLE significa che la versione rilevata rientra nell'intervallo interessato. Non sostituisce una valutazione di sicurezza completa.

Requisiti

Python 3.9+
Accesso a Internet/rete verso il target
requests
colorama

Sistemi operativi supportati:

Windows 10 / 11
Linux
macOS

Installazione

Clona il repository:

git clone https://github.com/YOUR-USERNAME/CVE-2026-14281-checker.git
cd CVE-2026-14281-checker

Installa le dipendenze:

py -m pip install -r requirements.txt

Su Linux/macOS:

python3 -m pip install -r requirements.txt

Utilizzo di base

Windows:

py CVE-2026-14281-check.py https://example.com

Linux/macOS:

python3 CVE-2026-14281-check.py https://example.com

Puoi anche fornire un hostname senza schema:

py CVE-2026-14281-check.py example.com

Il checker lo normalizzerà automaticamente.

Esempio di output

╔══════════════════════════════════════════════════════╗
║          CVE-2026-14281 SAFE CHECKER                 ║
║                                                      ║
║       WordPress Plugin Vulnerability Scanner         ║
╚══════════════════════════════════════════════════════╝

[*] Checking: https://example.com
[*] Mode: Passive / Non-destructive

Target: https://example.com
HTTP status: 200
WordPress: Detected
Plugin: Detected
Version: 4.8.6
Version source: readme.txt
Confidence: high
CVE status: POTENTIALLY VULNERABLE

Notes:
  • WordPress indicators detected.
  • Plugin readme.txt is accessible.
  • Version 4.8.6 is within the affected range <= 4.8.6.

[!] WARNING: Potentially vulnerable version detected.
[!] Recommended action: update the plugin and investigate the installation.

Opzioni della riga di comando

Timeout

Modifica il timeout HTTP:

py CVE-2026-14281-check.py https://example.com --timeout 20

Predefinito:

10 seconds

Proxy

Utile quando si ispeziona il traffico tramite Burp Suite o un altro proxy HTTP autorizzato:

py CVE-2026-14281-check.py https://example.com --proxy http://127.0.0.1:8080

Output JSON

Per automazione o integrazione con altri strumenti di sicurezza:

py CVE-2026-14281-check.py https://example.com --json

Esempio:

{
  "target": "https://example.com",
  "reachable": true,
  "wordpress_detected": true,
  "plugin_detected": true,
  "version": "4.8.6",
  "version_source": "readme.txt",
  "vulnerable": true,
  "confidence": "high",
  "http_status": 200,
  "notes": [
    "WordPress indicators detected.",
    "Plugin readme.txt is accessible.",
    "Version 4.8.6 is within the affected range <= 4.8.6."
  ]
}

Disabilitare i colori

Se l'output viene reindirizzato a un altro programma o terminale:

py CVE-2026-14281-check.py https://example.com --no-color

Codici di uscita

Il checker fornisce codici di uscita utili per scripting e ambienti CI/CD.

Codice	Significato
`0`	Il target non è identificato come vulnerabile
`1`	Rilevata una versione potenzialmente vulnerabile
`2`	Errore o stato di vulnerabilità non determinabile
`130`	L'utente ha interrotto la scansione

Esempio in Windows:

py CVE-2026-14281-check.py https://example.com

if %ERRORLEVEL% EQU 1 echo Potential vulnerability detected

Come funziona il rilevamento

Il checker non tenta di sfruttare CVE-2026-14281.

Esegue invece diversi controlli passivi:

1. Rilevamento di WordPress

La homepage viene ispezionata alla ricerca di indicatori comuni di WordPress come:

wp-content
wp-includes
wp-json
metadati del generatore WordPress

2. Rilevamento del plugin

La risposta viene ispezionata alla ricerca di riferimenti alla directory del plugin interessato.

3. Rilevamento della versione

Il checker tenta di determinare la versione installata da:

URL delle risorse del plugin
readme.txt pubblico

4. Valutazione della versione

Se viene identificata una versione, questa viene confrontata con l'intervallo noto come interessato.

Version <= 4.8.6
        │
        ├── YES → Potentially vulnerable
        │
        └── NO  → Outside known affected range

Importante: falsi positivi e falsi negativi

Nessun checker passivo di versione può garantire che un target sia sicuro.

Le possibili limitazioni includono:

Le risorse del plugin potrebbero essere in cache.
Le informazioni sulla versione potrebbero essere nascoste.
readme.txt potrebbe non essere accessibile.
Un plugin di sicurezza potrebbe bloccare le richieste.
Un reverse proxy/WAF potrebbe modificare le risposte.
Il plugin potrebbe essere installato ma non rilevabile pubblicamente.
Potrebbe esistere una correzione di sicurezza backportata senza variazione di versione.
Una versione rilevata potrebbe non rappresentare accuratamente il codice attualmente in esecuzione.

Pertanto:

UNKNOWN non significa sicuro, e NOT IN AFFECTED VERSION RANGE non costituisce una valutazione di sicurezza completa.

Per una correzione confermata, verifica il plugin installato direttamente dall'ambiente di amministrazione di WordPress o dalle informazioni del pacchetto/filesystem.

Sicuro per progettazione

Questo progetto evita intenzionalmente lo sfruttamento attivo.

Non:

crea utenti WordPress
assegna privilegi di amministratore
modifica account esistenti
tenta bypass OTP
invia payload di exploit
modifica le impostazioni del plugin
carica file
esegue comandi sul target
elimina o altera dati

Lo scopo è l'identificazione delle vulnerabilità, non lo sfruttamento.

Struttura del progetto

CVE-2026-14281-checker/
│
├── CVE-2026-14281-check.py
├── requirements.txt
├── README.md
├── LICENSE
└── .gitignore

Dipendenze

Il progetto utilizza:

Requests

Client HTTP utilizzato per comunicare con il target.

Colorama

Fornisce un output colorato affidabile del terminale su Windows.

Installa tutte le dipendenze con:

pip install -r requirements.txt

Più Popolari

CVE-2026-14281-check