Verificador CVE-2026-14281

Um verificador de segurança em Python leve e compatível com Windows para identificar instalações do WordPress que podem estar afetadas pela CVE-2026-14281.

A ferramenta realiza verificações passivas e não destrutivas. Ela não explora a vulnerabilidade, não cria contas, não modifica privilégios nem altera o site alvo.

Apenas para testes de segurança autorizados. Escaneie somente sites e sistemas que você possui ou para os quais tem permissão explícita de avaliação.

Recursos

🔎 Detecta indicadores do WordPress
🔌 Detecta o plugin afetado
🏷️ Tenta identificar a versão instalada do plugin
📄 Verifica o readme.txt público do plugin
🛡️ Determina se a versão detectada está dentro do intervalo conhecido como afetado
🪟 Projetado para funcionar corretamente no Windows CMD e PowerShell
🎨 Saída colorida no terminal compatível com Windows usando Colorama
🌐 Suporte opcional a proxy HTTP/HTTPS
📊 Saída em JSON para automação e fluxos de CI/CD
⏱️ Timeout HTTP configurável
🚫 Sem requisições de exploit
🚫 Sem criação de contas
🚫 Sem modificação de privilégios
🚫 Sem tentativas de bypass de OTP

Informações da CVE

Campo	Detalhes
CVE	CVE-2026-14281
Produto	Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code
Versões afetadas	≤ 4.8.6
Versão corrigida conhecida	4.8.7+
Tipo de scanner	Passivo / Não destrutivo

O verificador usa a versão detectada do plugin para determinar se a instalação está dentro do intervalo de versões conhecido como afetado.

Um resultado POTENTIALLY VULNERABLE significa que a versão detectada está dentro do intervalo afetado. Isso não substitui uma avaliação de segurança completa.

Requisitos

Python 3.9+
Acesso à internet/rede ao alvo
requests
colorama

Sistemas operacionais suportados:

Windows 10 / 11
Linux
macOS

Instalação

Clone o repositório:

git clone https://github.com/YOUR-USERNAME/CVE-2026-14281-checker.git
cd CVE-2026-14281-checker

Instale as dependências:

py -m pip install -r requirements.txt

No Linux/macOS:

python3 -m pip install -r requirements.txt

Uso Básico

Windows:

py CVE-2026-14281-check.py https://example.com

Linux/macOS:

python3 CVE-2026-14281-check.py https://example.com

Você também pode fornecer um hostname sem o esquema:

py CVE-2026-14281-check.py example.com

O verificador irá normalizá-lo automaticamente.

Exemplo de Saída

╔══════════════════════════════════════════════════════╗
║          CVE-2026-14281 SAFE CHECKER                 ║
║                                                      ║
║       WordPress Plugin Vulnerability Scanner         ║
╚══════════════════════════════════════════════════════╝

[*] Checking: https://example.com
[*] Mode: Passive / Non-destructive

Target: https://example.com
HTTP status: 200
WordPress: Detected
Plugin: Detected
Version: 4.8.6
Version source: readme.txt
Confidence: high
CVE status: POTENTIALLY VULNERABLE

Notes:
  • WordPress indicators detected.
  • Plugin readme.txt is accessible.
  • Version 4.8.6 is within the affected range <= 4.8.6.

[!] WARNING: Potentially vulnerable version detected.
[!] Recommended action: update the plugin and investigate the installation.

Opções de Linha de Comando

Timeout

Altere o timeout HTTP:

py CVE-2026-14281-check.py https://example.com --timeout 20

Padrão:

10 seconds

Proxy

Útil ao inspecionar tráfego através do Burp Suite ou outro proxy HTTP autorizado:

py CVE-2026-14281-check.py https://example.com --proxy http://127.0.0.1:8080

Saída JSON

Para automação ou integração com outras ferramentas de segurança:

py CVE-2026-14281-check.py https://example.com --json

Exemplo:

{
  "target": "https://example.com",
  "reachable": true,
  "wordpress_detected": true,
  "plugin_detected": true,
  "version": "4.8.6",
  "version_source": "readme.txt",
  "vulnerable": true,
  "confidence": "high",
  "http_status": 200,
  "notes": [
    "WordPress indicators detected.",
    "Plugin readme.txt is accessible.",
    "Version 4.8.6 is within the affected range <= 4.8.6."
  ]
}

Desativar Cores

Se a saída for redirecionada para outro programa ou terminal:

py CVE-2026-14281-check.py https://example.com --no-color

Códigos de Saída

O verificador fornece códigos de saída úteis para scripts e ambientes de CI/CD.

Código	Significado
`0`	O alvo não foi identificado como vulnerável
`1`	Versão potencialmente vulnerável detectada
`2`	Erro ou não foi possível determinar o status de vulnerabilidade
`130`	O usuário interrompeu a verificação

Exemplo no Windows:

py CVE-2026-14281-check.py https://example.com

if %ERRORLEVEL% EQU 1 echo Potential vulnerability detected

Como a Detecção Funciona

O verificador não tenta explorar a CVE-2026-14281.

Em vez disso, ele realiza várias verificações passivas:

1. Detecção do WordPress

A página inicial é inspecionada em busca de indicadores comuns do WordPress, como:

wp-content
wp-includes
wp-json
Metadados do gerador do WordPress

2. Detecção do plugin

A resposta é inspecionada em busca de referências ao diretório do plugin afetado.

3. Detecção de versão

O verificador tenta determinar a versão instalada a partir de:

URLs de assets do plugin
readme.txt público

4. Avaliação da versão

Se uma versão for identificada, ela é comparada com o intervalo conhecido como afetado.

Version <= 4.8.6
        │
        ├── YES → Potentially vulnerable
        │
        └── NO  → Outside known affected range

Importante: Falsos Positivos e Falsos Negativos

Nenhum verificador passivo de versão pode garantir que um alvo esteja seguro.

Possíveis limitações incluem:

Os assets do plugin podem estar em cache.
As informações de versão podem estar ocultas.
O readme.txt pode estar inacessível.
Um plugin de segurança pode bloquear requisições.
Um proxy reverso/WAF pode modificar as respostas.
O plugin pode estar instalado, mas não ser detectável publicamente.
Pode existir uma correção de segurança backportada sem alteração de versão.
Uma versão detectada pode não representar com precisão o código em execução no momento.

Portanto:

UNKNOWN não significa seguro, e NOT IN AFFECTED VERSION RANGE não constitui uma avaliação de segurança completa.

Para remediação confirmada, verifique o plugin instalado diretamente no ambiente de administração do WordPress ou nas informações do pacote/sistema de arquivos.

Seguro por Design

Este projeto evita intencionalmente a exploração ativa.

Ele não:

cria usuários do WordPress
atribui privilégios de administrador
modifica contas existentes
tenta bypasses de OTP
envia payloads de exploit
modifica configurações do plugin
faz upload de arquivos
executa comandos no alvo
exclui ou altera dados

O propósito é a identificação de vulnerabilidades, não a exploração.

Estrutura do Projeto

CVE-2026-14281-checker/
│
├── CVE-2026-14281-check.py
├── requirements.txt
├── README.md
├── LICENSE
└── .gitignore

Dependências

O projeto usa:

Requests

Cliente HTTP usado para se comunicar com o alvo.

Colorama

Fornece saída colorida confiável no terminal do Windows.

Instale todas as dependências com:

pip install -r requirements.txt

Divulgação Responsável

Se você descobrir uma instalação vulnerável que está autorizado a avaliar:

Mais Populares

CVE-2026-14281-check