CVE-2026-14281 Checker

Легковесный, дружественный к Windows сканер безопасности на Python для выявления установок WordPress, которые могут быть затронуты CVE-2026-14281.

Инструмент выполняет пассивные, недеструктивные проверки. Он не эксплуатирует уязвимость, не создаёт учётные записи, не изменяет привилегии и не вносит изменения в целевой веб-сайт.

Только для авторизованного тестирования безопасности. Сканируйте только те веб-сайты и системы, которыми вы владеете или на оценку которых у вас есть явное разрешение.

Возможности

🔎 Обнаружение признаков WordPress
🔌 Обнаружение уязвимого плагина
🏷️ Попытка определить установленную версию плагина
📄 Проверка публичного файла плагина readme.txt
🛡️ Определение, попадает ли обнаруженная версия в известный диапазон уязвимых версий
🪟 Разработан для корректной работы в Windows CMD и PowerShell
🎨 Совместимый с Windows цветной вывод в терминал с использованием Colorama
🌐 Опциональная поддержка HTTP/HTTPS-прокси
📊 Вывод в формате JSON для автоматизации и CI/CD-процессов
⏱️ Настраиваемый тайм-аут HTTP
🚫 Никаких эксплуатирующих запросов
🚫 Никакого создания учётных записей
🚫 Никакого изменения привилегий
🚫 Никаких попыток обхода OTP

Информация о CVE

Поле	Детали
CVE	CVE-2026-14281
Продукт	Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code
Уязвимые версии	≤ 4.8.6
Известная исправленная версия	4.8.7+
Тип сканера	Пассивный / Недеструктивный

Сканер использует обнаруженную версию плагина, чтобы определить, попадает ли установка в известный диапазон уязвимых версий.

Результат POTENTIALLY VULNERABLE означает, что обнаруженная версия попадает в уязвимый диапазон. Это не заменяет полноценную оценку безопасности.

Требования

Python 3.9+
Доступ в интернет/сеть к цели
requests
colorama

Поддерживаемые операционные системы:

Windows 10 / 11
Linux
macOS

Установка

Клонируйте репозиторий:

git clone https://github.com/YOUR-USERNAME/CVE-2026-14281-checker.git
cd CVE-2026-14281-checker

Установите зависимости:

py -m pip install -r requirements.txt

В Linux/macOS:

python3 -m pip install -r requirements.txt

Базовое использование

Windows:

py CVE-2026-14281-check.py https://example.com

Linux/macOS:

python3 CVE-2026-14281-check.py https://example.com

Вы также можете указать имя хоста без схемы:

py CVE-2026-14281-check.py example.com

Сканер нормализует его автоматически.

Пример вывода

╔══════════════════════════════════════════════════════╗
║          CVE-2026-14281 SAFE CHECKER                 ║
║                                                      ║
║       WordPress Plugin Vulnerability Scanner         ║
╚══════════════════════════════════════════════════════╝

[*] Checking: https://example.com
[*] Mode: Passive / Non-destructive

Target: https://example.com
HTTP status: 200
WordPress: Detected
Plugin: Detected
Version: 4.8.6
Version source: readme.txt
Confidence: high
CVE status: POTENTIALLY VULNERABLE

Notes:
  • WordPress indicators detected.
  • Plugin readme.txt is accessible.
  • Version 4.8.6 is within the affected range <= 4.8.6.

[!] WARNING: Potentially vulnerable version detected.
[!] Recommended action: update the plugin and investigate the installation.

Параметры командной строки

Тайм-аут

Изменить тайм-аут HTTP:

py CVE-2026-14281-check.py https://example.com --timeout 20

По умолчанию:

10 seconds

Прокси

Полезно при инспектировании трафика через Burp Suite или другой авторизованный HTTP-прокси:

py CVE-2026-14281-check.py https://example.com --proxy http://127.0.0.1:8080

Вывод JSON

Для автоматизации или интеграции с другими инструментами безопасности:

py CVE-2026-14281-check.py https://example.com --json

Пример:

{
  "target": "https://example.com",
  "reachable": true,
  "wordpress_detected": true,
  "plugin_detected": true,
  "version": "4.8.6",
  "version_source": "readme.txt",
  "vulnerable": true,
  "confidence": "high",
  "http_status": 200,
  "notes": [
    "WordPress indicators detected.",
    "Plugin readme.txt is accessible.",
    "Version 4.8.6 is within the affected range <= 4.8.6."
  ]
}

Отключение цветов

Если вывод перенаправляется в другую программу или терминал:

py CVE-2026-14281-check.py https://example.com --no-color

Коды выхода

Сканер предоставляет полезные коды выхода для скриптов и сред CI/CD.

Код	Значение
`0`	Цель не определена как уязвимая
`1`	Обнаружена потенциально уязвимая версия
`2`	Ошибка или не удалось определить статус уязвимости
`130`	Пользователь прервал сканирование

Пример в Windows:

py CVE-2026-14281-check.py https://example.com

if %ERRORLEVEL% EQU 1 echo Potential vulnerability detected

Как работает обнаружение

Сканер не пытается эксплуатировать CVE-2026-14281.

Вместо этого он выполняет несколько пассивных проверок:

1. Обнаружение WordPress

Главная страница проверяется на наличие распространённых признаков WordPress, таких как:

wp-content
wp-includes
wp-json
метаданные генератора WordPress

2. Обнаружение плагина

Ответ проверяется на наличие ссылок на директорию уязвимого плагина.

3. Обнаружение версии

Сканер пытается определить установленную версию из:

URL-адресов ресурсов плагина
публичного readme.txt

4. Оценка версии

Если версия определена, она сравнивается с известным уязвимым диапазоном.

Version <= 4.8.6
        │
        ├── YES → Potentially vulnerable
        │
        └── NO  → Outside known affected range

Важно: ложные срабатывания и пропуски

Ни один пассивный сканер версий не может гарантировать, что цель защищена.

Возможные ограничения включают:

Ресурсы плагина могут быть кэшированы.
Информация о версии может быть скрыта.
readme.txt может быть недоступен.
Плагин безопасности может блокировать запросы.
Обратный прокси/WAF может изменять ответы.
Плагин может быть установлен, но не обнаруживаться публично.
Может существовать бэкпортированное исправление безопасности без изменения версии.
Обнаруженная версия может не соответствовать коду, который фактически выполняется в данный момент.

Следовательно:

UNKNOWN не означает защищённость, а NOT IN AFFECTED VERSION RANGE не является полноценной оценкой безопасности.

Для подтверждённого устранения проверьте установленный плагин напрямую из административной среды WordPress или из информации о пакете/файловой системе.

Безопасность по замыслу

Этот проект намеренно избегает активной эксплуатации.

Он не:

создаёт пользователей WordPress
назначает права администратора
изменяет существующие учётные записи
пытается обойти OTP
отправляет эксплуатирующие полезные нагрузки
изменяет настройки плагина
загружает файлы
выполняет команды на цели
удаляет или изменяет данные

Цель — идентификация уязвимости, а не эксплуатация.

Структура проекта

CVE-2026-14281-checker/
│
├── CVE-2026-14281-check.py
├── requirements.txt
├── README.md
├── LICENSE
└── .gitignore

Зависимости

Проект использует:

Requests

HTTP-клиент, используемый для связи с целью.

Colorama

Обеспечивает надёжный цветной вывод в терминал в Windows.

Установите все зависимости с помощью:

pip install -r requirements.txt

Ответственное раскрытие

Если вы обнаружите уязвимую установку, которую вы уполномочены оценивать:

Популярное

CVE-2026-14281-check