CVE-2026-14281

요약

The Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code plugin for WordPress는 4.8.6 이하의 모든 버전에서 권한 상승(Privilege Escalation) 취약점에 노출되어 있습니다. 이는 공개적으로 접근 가능한 REST 경로 `POST /wp-json/wawp/v1/signup/<op>`에 대한 권한 검사가 누락되었고, `finish_registration_logic` 함수에 키 허용 목록이 없기 때문입니다. 이 함수는 공격자가 제어하는 `wawp_custom_fields` 매개변수를 `update_user_meta()`에 직접 복사하여, 호출자가 `wp_capabilities` 및 `wp_user_level`과 같은 민감한 메타 키를 설정할 수 있게 합니다. 이로 인해 인증되지 않은 공격자가 관리자 역할로 새 계정을 등록하고 사이트에 대한 완전한 관리자 접근 권한을 얻을 수 있습니다. 가입 시 OTP 검증이 활성화된 경우, OTP 세션 토큰(`otp_transient`)이 HTTP 응답 본문에 평문으로 반환되며, `handle_magic_link_request()` 핸들러는 해당 토큰을 포함한 인증되지 않은 GET 요청이 들어오면 OTP 코드 값을 전혀 확인하지 않고 토큰을 검증된 것으로 표시합니다. 따라서 받은 편지함이나 SMS 접근 없이도 OTP 단계를 손쉽게 우회할 수 있습니다.

소스

• CVE-2026-14281PoC

  WordPress WAWP(Automation Web Platform) ≤ 4.8.6에서 공개 REST 가입 및 정제되지 않은 wawp_custom_fields를 통한 비인증 권한 상승 → admin. Python 점검/익스플로잇 PoC (PoCbit).