CVE-2026-14281
Automation Web Platform <= 4.8.6 - 'wawp_custom_fields' 매개변수를 통한 인증되지 않은 권한 상승
- 게시됨
- 2026. 9. 25.
- 업데이트됨
- 2026. 9. 25.
- CNA 할당 중
- Wordfence
- 증거 관찰됨
- 2026. 9. 25.
기본 CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H낮음 · 다음 30일
- 백분위수
- 43.6%
- 모델 날짜
- 2026. 10. 15.
EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.
요약
The Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code plugin for WordPress는 4.8.6 이하의 모든 버전에서 권한 상승(Privilege Escalation) 취약점에 노출되어 있습니다. 이는 공개적으로 접근 가능한 REST 경로 `POST /wp-json/wawp/v1/signup/<op>`에 대한 권한 검사가 누락되었고, `finish_registration_logic` 함수에 키 허용 목록이 없기 때문입니다. 이 함수는 공격자가 제어하는 `wawp_custom_fields` 매개변수를 `update_user_meta()`에 직접 복사하여, 호출자가 `wp_capabilities` 및 `wp_user_level`과 같은 민감한 메타 키를 설정할 수 있게 합니다. 이로 인해 인증되지 않은 공격자가 관리자 역할로 새 계정을 등록하고 사이트에 대한 완전한 관리자 접근 권한을 얻을 수 있습니다. 가입 시 OTP 검증이 활성화된 경우, OTP 세션 토큰(`otp_transient`)이 HTTP 응답 본문에 평문으로 반환되며, `handle_magic_link_request()` 핸들러는 해당 토큰을 포함한 인증되지 않은 GET 요청이 들어오면 OTP 코드 값을 전혀 확인하지 않고 토큰을 검증된 것으로 표시합니다. 따라서 받은 편지함이나 SMS 접근 없이도 OTP 단계를 손쉽게 우회할 수 있습니다.
소스
- CVE-2026-14281익스플로잇
CVE-2026-14281에 대한 대량 스캐너 및 단일 대상 익스플로잇으로, WordPress Automation Web Platform 플러그인의 REST 가입 기능을 통한 인증되지 않은 권한 상승 취약점입니다.
WordPress WAWP(Automation Web Platform) ≤ 4.8.6에서 공개 REST 가입 및 정제되지 않은 wawp_custom_fields를 통한 비인증 권한 상승 → admin. Python 점검/익스플로잇 PoC (PoCbit).
CVE-2026-14281의 영향을 받을 가능성이 있는 WordPress 설치를 탐지하기 위한 Windows 친화적이고 비파괴적인 Python 검사기입니다.
책임 있는 사용
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.