CVE-2026-14281

概要

The Automation Web Platform – Notifications and OTP for WooCommerce、Advanced Country Code plugin for WordPress は、4.8.6 以前のすべてのバージョンにおいて、権限昇格に対して脆弱です。これは、公開アクセス可能な REST ルート `POST /wp-json/wawp/v1/signup/<op>` に対する権限チェックの欠如と、`finish_registration_logic` 関数におけるキーの許可リストの不在によるもので、攻撃者が制御する `wawp_custom_fields` パラメータを `update_user_meta()` に直接コピーします。これにより、`wp_capabilities` や `wp_user_level` などの機密性の高いメタキーを呼び出し元が設定できるようになります。このため、未認証の攻撃者が管理者ロールを持つ新しいアカウントを登録し、サイトへの完全な管理者アクセス権を取得することが可能になります。サインアップ時に OTP 検証が有効になっている場合、OTP セッショントークン（`otp_transient`）が HTTP レスポンスボディに平文で返され、`handle_magic_link_request()` ハンドラは、そのトークンを含む未認証の GET リクエストに対して OTP コードの値を一切チェックすることなくトークンを検証済みとしてマークします。これにより、受信トレイや SMS へのアクセスを必要とせずに、OTP ステップを容易にバイパスすることができます。

ソース

• CVE-2026-14281PoC

  WordPress WAWP (Automation Web Platform) ≤ 4.8.6 における未認証の権限昇格。公開 REST サインアップとサニタイズされていない wawp_custom_fields を介して admin へ昇格。Python によるチェック/エクスプロイト PoC (PoCbit)。