CVE-2026-14281 检查工具

一个轻量级、对 Windows 友好的 Python 安全检查工具，用于识别可能受 CVE-2026-14281 影响的 WordPress 安装。

该工具执行被动、非破坏性检查。它不会利用该漏洞、创建账户、修改权限或更改目标网站。

仅供授权安全测试使用。 仅扫描您拥有或已获得明确评估许可的网站和系统。

---

功能特性

• 🔎 检测 WordPress 特征
• 🔌 检测受影响的插件
• 🏷️ 尝试识别已安装插件的版本
• 📄 检查插件的公开 readme.txt
• 🛡️ 判断检测到的版本是否落在已知受影响范围内
• 🪟 专为在 Windows CMD 和 PowerShell 上正常运行而设计
• 🎨 使用 Colorama 实现 Windows 兼容的彩色终端输出
• 🌐 可选的 HTTP/HTTPS 代理支持
• 📊 用于自动化和 CI/CD 工作流的 JSON 输出
• ⏱️ 可配置的 HTTP 超时
• 🚫 不发送漏洞利用请求
• 🚫 不创建账户
• 🚫 不修改权限
• 🚫 不尝试绕过 OTP

---

CVE 信息

字段	详情
CVE	CVE-2026-14281
产品	Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code
受影响版本	≤ 4.8.6
已知修复版本	4.8.7+
扫描器类型	被动 / 非破坏性

该检查工具使用检测到的插件版本来判断该安装是否落在已知受影响版本范围内。

结果为 POTENTIALLY VULNERABLE（可能易受攻击）意味着检测到的版本落在受影响范围内。它不能替代完整的安全评估。

---

环境要求

• Python 3.9+
• 可访问目标的互联网/网络连接
• requests
• colorama

支持的操作系统：

• Windows 10 / 11
• Linux
• macOS

---

安装

克隆仓库：

git clone https://github.com/YOUR-USERNAME/CVE-2026-14281-checker.git
cd CVE-2026-14281-checker

安装依赖：

py -m pip install -r requirements.txt

在 Linux/macOS 上：

python3 -m pip install -r requirements.txt

---

基本用法

Windows：

py CVE-2026-14281-check.py https://example.com

Linux/macOS：

python3 CVE-2026-14281-check.py https://example.com

您也可以提供不带协议的主机名：

py CVE-2026-14281-check.py example.com

检查工具会自动对其进行规范化。

---

输出示例

╔══════════════════════════════════════════════════════╗
║          CVE-2026-14281 SAFE CHECKER                 ║
║                                                      ║
║       WordPress Plugin Vulnerability Scanner         ║
╚══════════════════════════════════════════════════════╝

[*] Checking: https://example.com
[*] Mode: Passive / Non-destructive

Target: https://example.com
HTTP status: 200
WordPress: Detected
Plugin: Detected
Version: 4.8.6
Version source: readme.txt
Confidence: high
CVE status: POTENTIALLY VULNERABLE

Notes:
  • WordPress indicators detected.
  • Plugin readme.txt is accessible.
  • Version 4.8.6 is within the affected range <= 4.8.6.

[!] WARNING: Potentially vulnerable version detected.
[!] Recommended action: update the plugin and investigate the installation.

---

命令行选项

超时

更改 HTTP 超时：

py CVE-2026-14281-check.py https://example.com --timeout 20

默认值：

10 seconds

---

代理

在通过 Burp Suite 或其他授权 HTTP 代理检查流量时非常有用：

py CVE-2026-14281-check.py https://example.com --proxy http://127.0.0.1:8080

---

JSON 输出

用于自动化或与其他安全工具集成：

py CVE-2026-14281-check.py https://example.com --json

示例：

{
  "target": "https://example.com",
  "reachable": true,
  "wordpress_detected": true,
  "plugin_detected": true,
  "version": "4.8.6",
  "version_source": "readme.txt",
  "vulnerable": true,
  "confidence": "high",
  "http_status": 200,
  "notes": [
    "WordPress indicators detected.",
    "Plugin readme.txt is accessible.",
    "Version 4.8.6 is within the affected range <= 4.8.6."
  ]
}

---

禁用颜色

如果输出被重定向到其他程序或终端：

py CVE-2026-14281-check.py https://example.com --no-color

---

退出代码

该检查工具为脚本和 CI/CD 环境提供了有用的退出代码。

代码	含义
0	目标未被识别为易受攻击
1	检测到可能易受攻击的版本
2	错误或无法确定漏洞状态
130	用户中断了扫描

Windows 中的示例：

py CVE-2026-14281-check.py https://example.com

if %ERRORLEVEL% EQU 1 echo Potential vulnerability detected

---

检测原理

该检查工具不会尝试利用 CVE-2026-14281。

相反，它会执行若干被动检查：

1. WordPress 检测

检查主页中常见的 WordPress 特征，例如：

• wp-content
• wp-includes
• wp-json
• WordPress 生成器元数据

2. 插件检测

检查响应中是否引用了受影响的插件目录。

3. 版本检测

检查工具尝试从以下来源确定已安装的版本：

• 插件资源 URL
• 公开的 readme.txt

4. 版本评估

如果识别出版本，则将其与已知受影响范围进行比较。

Version <= 4.8.6
        │
        ├── YES → Potentially vulnerable
        │
        └── NO  → Outside known affected range

---

重要提示：误报与漏报

任何被动版本检查工具都无法保证目标安全。

可能的局限性包括：

• 插件资源可能被缓存。
• 版本信息可能被隐藏。
• readme.txt 可能无法访问。
• 安全插件可能阻止请求。
• 反向代理/WAF 可能修改响应。
• 插件可能已安装但无法公开检测到。
• 可能存在未更改版本号的后向移植安全修复。
• 检测到的版本可能无法准确代表当前运行的代码。

因此：

UNKNOWN（未知）并不意味着安全，NOT IN AFFECTED VERSION RANGE（不在受影响版本范围内）也不构成完整的安全评估。

如需确认修复情况，请直接从 WordPress 管理环境或包/文件系统信息中验证已安装的插件。

---

设计安全

本项目有意避免主动利用。

它不会：

• 创建 WordPress 用户
• 分配管理员权限
• 修改现有账户
• 尝试绕过 OTP
• 发送漏洞利用载荷
• 修改插件设置
• 上传文件
• 在目标上执行命令
• 删除或更改数据

其目的是漏洞识别，而非利用。

---

项目结构

CVE-2026-14281-checker/
│
├── CVE-2026-14281-check.py
├── requirements.txt
├── README.md
├── LICENSE
└── .gitignore

---

依赖项

本项目使用：

Requests

用于与目标通信的 HTTP 客户端。

Colorama

在 Windows 上提供可靠的彩色终端输出。

使用以下命令安装所有依赖项：

pip install -r requirements.txt

---

负责任披露

如果您发现了一个您有权评估的易受攻击的安装：

1. 确认受影响版本。
2. 通知系统所有者或负责的安全团队。
3. 建议更新到修复版本。
4. 避免不必要的利用。
5. 在不访问无关数据的情况下保留相关证据。

请勿使用此工具扫描未经授权的系统。

---

免责声明

本项目仅供防御性安全研究、漏洞评估、教育和授权渗透测试使用。

作者不对因使用本软件而导致的误用、未经授权的扫描、损害、数据丢失、服务中断或任何其他后果负责。

使用本项目即表示您同意遵守所有适用的法律、法规、合同和授权要求。

---

许可证

本项目在 MIT 许可证下发布。

---

版本

v1.0.0

首次公开发布。