abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-81294

CVE-2026-81294 — WordPress

WordPress — Authorizer 3.15.1 — Paul Ryan

Authorizer <= 3.15.1 バージョンにおける未認証の権限昇格。

アドバイザリ（ソースマップより）

GitHub の emails[] を verified なしで扱うことが開示されたシンクである。ラボは同じ email_verified チェック欠如を持つ汎用 OAuth2 である。HTTP は GET wp-login.php?external=oauth2。

エントリ

• Method: GET
• Path: /wp-login.php?external=oauth2
• Router: authenticate フィルター custom_authenticate_oauth2。3.15.1 の GitHub emails API は entry.verified をチェックせずに entry.email をマッピングしていた。ラボは同じ検証欠如を持つ汎用 OAuth2 を使用している。3.15.2 は GitHub に対して empty(entry.verified) をフィルタリングし、汎用向けに oauth2_require_verified_email を追加する。
• Notes: CVE-2026-81294 CWE-266 Authorizer 3.15.1。未検証の OAuth2 メールが管理者に一致することによる未認証の権限昇格。Witness POCWitness81294。3.15.2 で修正済み。

コールチェーン

• GET /wp-login.php?external=oauth2 (keep PHPSESSID)
• 302 /oauth-mock/authorize then 302 back with code+state
• WP exchanges token, userinfo [email protected] unverified
• get_user_by email admin, wp_set_auth_cookie
• GET /?auth_lab=1 POCWitness81294

ラボの前提条件

• Authorizer 3.15.1
• oauth2=1 provider=generic mock URLs
• admin email [email protected] display_name=POCWitness81294

Witness

OAuth 後の GET /?auth_lab=1 が POCWitness81294 である。その文字列を含まないログインページ HTML は該当しない。

成功ではないもの

• クッキーなしのログインフォーム 200
• oauth2_email_not_verified
• empty_username
• リバースシェル

パッチ / 修復

まずこれを行う: Authorizer を 3.15.2 以降に更新する。

アップグレード後の確認

• パッチ適用済みビルドに対して CVE-2026-81294-Abraxas-Labs.py を再実行する: マッピングされた witness が出現してはならない。
• デプロイされたツリーでベンダーアドバイザリ / チェンジセットを確認する（参考文献を参照）。
• WAF シグネチャは遅延であり、パッチではない。

すぐに更新できない場合

• 影響を受けるコンポーネントを無効化または隔離する。
• 本番環境で witness 条件を探す（新たな特権ユーザー、予期しないファイル、注入された行 — この CVE のマップが示すものは何でも）。

再現（許可されたラボ）

http://127.0.0.1:8088（またはバインドしたループバック）のみを対象とすること。このスクリプトをインターネットに向けないこと。

python3 CVE-2026-81294-Abraxas-Labs.py

成功とは、レスポンスボディに上記の witness が含まれることである。一般的な 200 HTML は該当しない。

ラボイメージ

再現に使用したループバックスタック。このフォルダ内の Dockerfile がソースからビルドする場合を除き、公式イメージを使用。

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

YAML がローカルディレクトリをマウントする場合（バージョンテーブルからのプラグイン zip / ソースタグ）、Compose の隣に脆弱な製品ツリーをバインドすること。127.0.0.1 以外は公開しないこと。

参考文献

• CVE-2026-81294 · NVD

• CVE-2026-81294 · CVE.org

• patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve

• github.com/advisories/GHSA-xppg-27gw-vxcj

• nvd.nist.gov/vuln/detail/CVE-2026-81294

• プラグインディレクトリ: authorizer

• Trac ブラウザ: plugins.trac.wordpress.org/authorizer

• SVN タグ: plugins.svn.wordpress.org/authorizer

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

レコード（構造化）

# CVE-2026-81294  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-81294`
- CWE: CWE-266
- published: 2026-09-02T12:17:12.783

## NVD description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## MITRE description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## Affected

- Paul Ryan Authorizer n/a affected

## References (JSON sources only)

- https://patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-xppg-27gw-vxcj
- https://nvd.nist.gov/vuln/detail/CVE-2026-81294

## GitHub advisory

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

ライセンス

この開示パックは GNU Affero General Public License v3.0 の下でライセンスされている。LICENSE を参照。

免責事項

このパックはベンダー、サイト所有者、およびライセンスされたラボ向けである。スクリプトは 127.0.0.1 と通信する。所有していないシステムに対して使用することは Abraxas Labs によって許可されていない。保証はない。

abraxaslabs.tech · github.com/abraxas · @abraxas_null