CVE-2026-14281 — WAWP (Automation Web Platform) Escalação de Privilégios Não Autenticada

PoC em Python 3 para CVE-2026-14281 no plugin WordPress Automation Web Platform (automation-web-platform — WAWP / Notifications & OTP for WooCommerce).

PoCbit

Listado em PoCbit — catálogo da comunidade: https://pocbit.org/pocs/

A execução do PoC imprime um cabeçalho PoCbit; as linhas JSONL incluem pocbit, pocbit_catalog e pocbit_page.

Resumo

O manipulador REST de cadastro (public_permissions_check) aceita wawp_custom_fields, mapeia-o para custom_fields_data e, após wp_insert_user(), grava cada chave com update_user_meta() sem uma allowlist. Atacantes podem definir wp_capabilities e wp_user_level para obter administrador.

Código relevante (4.8.6): includes/api/class-wawp-rest-settings-api.php (/signup/(?P<op>…)), includes/auth-services/class-wawp-otp-service.php (wawp_custom_fields → custom_fields_data), includes/auth-services/class-wawp-signup.php (finish_registration_logic).

Quando o OTP de cadastro está ativado, a primeira chamada signup pode parar em otp_verify (desafio enviado) e o registro só é concluído após o OTP — a cadeia completa de admin não autenticado pode exigir OTP desativado ou um bypass de OTP separado. O PoC reporta otp_required nesse caso.

Requisitos

pip install -r requirements.txt

Python 3.8+.

Uso

# Version + REST surface + optional live signup probe (creates a throwaway user if OTP off)
python poc.py -u https://target.example --mode check

# Register admin-capable user (authorized targets only)
python poc.py -u https://target.example --mode exploit --verify

# Mass scan
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON to stdout (single target)
python poc.py -u https://target.example --mode check 2>nul

Saída

Valores de status (check)

Dicas FOFA

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

Legal

Use apenas em sistemas que você possui ou tem permissão explícita para testar.