abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-81294

CVE-2026-81294 — WordPress

WordPress — Authorizer 3.15.1 — Paul Ryan

Authorizer <= 3.15.1 版本中的未认证权限提升漏洞。

公告（来自 source map）

GitHub emails[] 未验证 verified 即为所披露的 sink。实验环境为通用 OAuth2，存在相同的缺失 email_verified 检查。HTTP 为 GET wp-login.php?external=oauth2。

入口

• 方法： GET
• 路径： /wp-login.php?external=oauth2
• 路由： authenticate 过滤器 custom_authenticate_oauth2。3.15.1 的 GitHub emails API 映射 entry.email 时未检查 entry.verified。实验环境使用通用 OAuth2，存在相同的缺失验证。3.15.2 对 GitHub 过滤 empty(entry.verified)，并为通用方式添加 oauth2_require_verified_email。
• 备注： CVE-2026-81294 CWE-266 Authorizer 3.15.1。通过未验证的 OAuth2 邮箱匹配管理员实现未认证权限提升。见证 POCWitness81294。已在 3.15.2 修复。

调用链

• GET /wp-login.php?external=oauth2 (keep PHPSESSID)
• 302 /oauth-mock/authorize then 302 back with code+state
• WP exchanges token, userinfo [email protected] unverified
• get_user_by email admin, wp_set_auth_cookie
• GET /?auth_lab=1 POCWitness81294

实验环境前置条件

• Authorizer 3.15.1
• oauth2=1 provider=generic mock URLs
• admin email [email protected] display_name=POCWitness81294

见证

OAuth 之后 GET /?auth_lab=1 返回 POCWitness81294。不含该字符串的登录页面 HTML 不算。

非成功

• 无 cookie 的登录表单 200
• oauth2_email_not_verified
• empty_username
• 反弹 shell

补丁 / 修复

首先执行： 将 Authorizer 更新至 3.15.2 或更高版本。

升级后验证

• 针对已修补版本重新运行 CVE-2026-81294-Abraxas-Labs.py：映射的见证必须不出现。
• 确认已部署目录树中的供应商公告 / changeset（见参考资料）。
• WAF 签名是延迟，不是补丁。

如果无法立即更新

• 禁用或隔离受影响的组件。
• 在生产环境中搜寻见证条件（新的特权用户、意外文件、注入的行——即此 CVE 的 map 所指明的任何内容）。

复现（授权实验环境）

目标仅限 http://127.0.0.1:8088（或你绑定的回环地址）。不要将此脚本指向互联网。

python3 CVE-2026-81294-Abraxas-Labs.py

成功即响应体中出现上述见证。普通的 200 HTML 不算。

实验环境镜像

用于复现的回环栈。除非此文件夹中的 Dockerfile 从源码构建，否则使用官方镜像。

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

如果 YAML 挂载了本地目录（来自版本表的插件 zip / 源码标签），请将存在漏洞的产品目录树绑定到 Compose 旁边。除 127.0.0.1 外不要发布任何内容。

参考资料

• CVE-2026-81294 · NVD

• CVE-2026-81294 · CVE.org

• patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve

• github.com/advisories/GHSA-xppg-27gw-vxcj

• nvd.nist.gov/vuln/detail/CVE-2026-81294

• 插件目录：authorizer

• Trac 浏览器：plugins.trac.wordpress.org/authorizer

• SVN 标签：plugins.svn.wordpress.org/authorizer

• Abraxas Labs：abraxaslabs.tech · github.com/abraxas · @abraxas_null

记录（结构化）

# CVE-2026-81294  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-81294`
- CWE: CWE-266
- published: 2026-09-02T12:17:12.783

## NVD description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## MITRE description

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

## Affected

- Paul Ryan Authorizer n/a affected

## References (JSON sources only)

- https://patchstack.com/database/wordpress/plugin/authorizer/vulnerability/wordpress-authorizer-plugin-3-15-1-privilege-escalation-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-xppg-27gw-vxcj
- https://nvd.nist.gov/vuln/detail/CVE-2026-81294

## GitHub advisory

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

Unauthenticated Privilege Escalation in Authorizer <= 3.15.1 versions.

许可证

本披露包依据 GNU Affero General Public License v3.0 许可。见 LICENSE。

免责声明

本包面向供应商、站点所有者及授权实验环境。该脚本仅与 127.0.0.1 通信。将其用于你并不拥有的系统未获 Abraxas Labs 授权。不提供任何担保。

abraxaslabs.tech · github.com/abraxas · @abraxas_null