CVE-2026-14281 — WAWP (Automation Web Platform) Неаутентифицированное повышение привилегий

Python 3 PoC для CVE-2026-14281 в плагине WordPress Automation Web Platform (automation-web-platform — WAWP / Notifications & OTP for WooCommerce).

PoCbit

Указан на PoCbit — каталог сообщества: https://pocbit.org/pocs/

При запуске PoC выводится заголовок PoCbit; строки JSONL содержат pocbit, pocbit_catalog и pocbit_page.

Краткое описание

Обработчик REST для регистрации (public_permissions_check) принимает wawp_custom_fields, сопоставляет его с custom_fields_data и после wp_insert_user() записывает каждый ключ через update_user_meta() без списка разрешённых полей. Злоумышленники могут установить wp_capabilities и wp_user_level, чтобы получить права администратора.

Соответствующий код (4.8.6): includes/api/class-wawp-rest-settings-api.php (/signup/(?P<op>…)), includes/auth-services/class-wawp-otp-service.php (wawp_custom_fields → custom_fields_data), includes/auth-services/class-wawp-signup.php (finish_registration_logic).

Когда OTP при регистрации включён, первый вызов signup может остановиться на otp_verify (запрос отправлен), и регистрация завершается только после OTP — полная цепочка неаутентифицированного получения прав администратора может потребовать отключённого OTP или отдельного обхода OTP. В этом случае PoC сообщает otp_required.

Требования

pip install -r requirements.txt

Python 3.8+.

Использование

# Version + REST surface + optional live signup probe (creates a throwaway user if OTP off)
python poc.py -u https://target.example --mode check

# Register admin-capable user (authorized targets only)
python poc.py -u https://target.example --mode exploit --verify

# Mass scan
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON to stdout (single target)
python poc.py -u https://target.example --mode check 2>nul

Вывод

Значения статуса (check)

Подсказки FOFA

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

Правовая информация

Используйте только в системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.