CVE-2026-14281 — WAWP (Automation Web Platform) 인증되지 않은 권한 상승

WordPress 플러그인 Automation Web Platform(automation-web-platform — WAWP / Notifications & OTP for WooCommerce)의 **CVE-2026-14281**에 대한 Python 3 PoC입니다.

PoCbit

**PoCbit**에 등록됨 — 커뮤니티 카탈로그: https://pocbit.org/pocs/

PoC를 실행하면 PoCbit 헤더가 출력되며, JSONL 라인에는 pocbit, pocbit_catalog, pocbit_page가 포함됩니다.

요약

회원가입 REST 핸들러(public_permissions_check)는 **wawp_custom_fields**를 허용하고 이를 **custom_fields_data**로 매핑하며, wp_insert_user() 이후 허용 목록 없이 **update_user_meta()**로 각 키를 기록합니다. 공격자는 **wp_capabilities**와 **wp_user_level**을 설정하여 관리자 권한을 획득할 수 있습니다.

관련 코드(4.8.6): includes/api/class-wawp-rest-settings-api.php (/signup/(?P<op>…)), includes/auth-services/class-wawp-otp-service.php (wawp_custom_fields → custom_fields_data), includes/auth-services/class-wawp-signup.php (finish_registration_logic).

회원가입 OTP가 활성화된 경우, 첫 번째 signup 호출은 otp_verify(챌린지 전송됨)에서 중단될 수 있으며, 등록은 OTP 이후에만 완료됩니다 — 완전한 비인증 관리자 권한 상승 체인은 OTP가 비활성화되어 있거나 별도의 OTP 우회가 필요할 수 있습니다. 이 경우 PoC는 **otp_required**를 보고합니다.

요구 사항

pip install -r requirements.txt

Python 3.8+.

사용법

# Version + REST surface + optional live signup probe (creates a throwaway user if OTP off)
python poc.py -u https://target.example --mode check

# Register admin-capable user (authorized targets only)
python poc.py -u https://target.example --mode exploit --verify

# Mass scan
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON to stdout (single target)
python poc.py -u https://target.example --mode check 2>nul

출력

상태 값 (check)

FOFA 힌트

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

법적 고지

본인이 소유하거나 명시적인 테스트 허가를 받은 시스템에서만 사용하십시오.