Abraxas Labs — CVE-2026-81294 — WordPress

abraxaslabs.tech · github.com/abraxas · @abraxas_null · CVE-2026-81294

CVE-2026-81294 — WordPress

WordPress — Authorizer 3.15.1 — Paul Ryan

Повышение привилегий без аутентификации в Authorizer <= 3.15.1.


CVE	CVE-2026-81294 · CVE.org
CWE	CWE-266
CVSS	Critical: 9.8 `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
Продукт	WordPress — Authorizer
Затронуто	все версии по 3.15.1 включительно
Исправлено	3.15.2 и новее
Аутентификация	отсутствует (см. карту исходников)
Лицензия	GNU Affero GPL v3.0
Лаборатория	только `127.0.0.1` · пакет для раскрытия вендору/клиенту, не сканер

Точка входа

Метод: GET
Путь: /wp-login.php?external=oauth2
Маршрутизатор: фильтр authenticate custom_authenticate_oauth2. В 3.15.1 GitHub emails API сопоставлял entry.email без проверки entry.verified. В лаборатории используется generic OAuth2 с той же отсутствующей проверкой. В 3.15.2 добавлена фильтрация empty(entry.verified) для GitHub и добавлен oauth2_require_verified_email для generic.
Примечания: CVE-2026-81294 CWE-266 Authorizer 3.15.1. Повышение привилегий без аутентификации через неподтверждённый email OAuth2, совпадающий с администратором. Свидетель POCWitness81294. Исправлено в 3.15.2.

Цепочка вызовов

GET /wp-login.php?external=oauth2 (keep PHPSESSID)
302 /oauth-mock/authorize then 302 back with code+state
WP exchanges token, userinfo [email protected] unverified
get_user_by email admin, wp_set_auth_cookie
GET /?auth_lab=1 POCWitness81294

Предусловия лаборатории

Authorizer 3.15.1
oauth2=1 provider=generic mock URLs
admin email [email protected] display_name=POCWitness81294

Свидетель

GET /?auth_lab=1 после OAuth — это POCWitness81294. HTML страницы входа без этой строки — не он.

Не является успехом

форма входа 200 без cookie
oauth2_email_not_verified
empty_username
reverse shell

Патч / устранение

Сделайте это в первую очередь: обновите Authorizer до 3.15.2 или новее.

Проверка после обновления

Повторно запустите CVE-2026-81294-Abraxas-Labs.py против исправленной сборки: сопоставленный свидетель не должен появиться.
Подтвердите наличие рекомендации вендора / changeset в развёрнутом дереве (см. ссылки).
Сигнатура WAF — это отсрочка, а не патч.

Если вы не можете обновиться немедленно

Отключите или изолируйте затронутый компонент.
Ищите условие свидетеля в продакшене (новые привилегированные пользователи, неожиданные файлы, внедрённые строки — всё, что указано в карте этой CVE).

Воспроизведение (авторизованная лаборатория)

Цель — только http://127.0.0.1:8088 (или loopback, который вы привязали). Не направляйте этот скрипт в интернет.

python3 CVE-2026-81294-Abraxas-Labs.py

Успех — это свидетель выше в теле ответа. Обычный HTML 200 — не он.

Образы лаборатории

Loopback-стек, использованный для воспроизведения. Официальные образы, если только Dockerfile в этой папке не собирает из исходников.

cd lab
docker compose up --force-recreate

Привяжите дерево уязвимого продукта рядом с Compose, если YAML монтирует локальный каталог (zip плагина / тег исходников из таблицы версий). Не публикуйте ничего, кроме 127.0.0.1.

Ссылки

CVE-2026-81294 · NVD
CVE-2026-81294 · CVE.org
patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve
github.com/advisories/GHSA-xppg-27gw-vxcj
nvd.nist.gov/vuln/detail/CVE-2026-81294
Каталог плагинов: authorizer
Браузер Trac: plugins.trac.wordpress.org/authorizer
Теги SVN: plugins.svn.wordpress.org/authorizer
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Записи (структурированные)

# CVE-2026-81294  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-81294`
- CWE: CWE-266
- published: 2026-09-02T12:17:12.783

## NVD description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## MITRE description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## Affected

- Paul Ryan Authorizer n/a affected

## References (JSON sources only)

- https://patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-xppg-27gw-vxcj
- https://nvd.nist.gov/vuln/detail/CVE-2026-81294

## GitHub advisory

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

Лицензия

Этот пакет для раскрытия лицензирован под GNU Affero General Public License v3.0. См. LICENSE.

Отказ от ответственности

Этот пакет предназначен для вендора, владельца сайта и лицензированных лабораторий. Скрипт обращается к 127.0.0.1. Использование его против систем, которыми вы не владеете, не авторизовано Abraxas Labs. Без гарантий.

abraxaslabs.tech · github.com/abraxas · @abraxas_null

CVE-2026-81294

Популярное