CVE-2026-14281

Resumo

A Automation Web Platform – Notifications and OTP for WooCommerce, plugin Advanced Country Code para WordPress é vulnerável a Escalação de Privilégios em todas as versões até, e incluindo, a 4.8.6. Isso deve-se à falta de aplicação de permissões na rota REST acessível publicamente `POST /wp-json/wawp/v1/signup/<op>` e à ausência de uma lista de permissões de chaves na função `finish_registration_logic`, que copia o parâmetro `wawp_custom_fields` controlado pelo atacante diretamente para `update_user_meta()` — permitindo que chaves de meta sensíveis, como `wp_capabilities` e `wp_user_level`, sejam definidas pelo chamador. Isso torna possível que atacantes não autenticados registem uma nova conta com a função de administrador e obtenham acesso administrativo total ao site. Quando a verificação OTP está ativada no registo, o token de sessão OTP (`otp_transient`) é devolvido em texto simples no corpo da resposta HTTP, e o handler `handle_magic_link_request()` marca esse token como verificado em qualquer pedido GET não autenticado que o contenha, sem nunca verificar o valor do código OTP — tornando o passo OTP trivialmente contornável sem necessidade de acesso à caixa de entrada ou SMS.

Fontes

• CVE-2026-14281PoC

  Escalação de privilégios não autenticada no WordPress WAWP (Automation Web Platform) ≤ 4.8.6 via signup REST público e wawp_custom_fields não sanitizado → admin. PoC em Python de verificação/exploração (PoCbit).