CVE-2026-14281 — WAWP（Automation Web Platform）未认证权限提升

针对 WordPress 插件 Automation Web Platform（automation-web-platform — WAWP / Notifications & OTP for WooCommerce）中 CVE-2026-14281 的 Python 3 PoC。

PoCbit

收录于 PoCbit — 社区目录：https://pocbit.org/pocs/

运行 PoC 会打印 PoCbit 头部；JSONL 行包含 pocbit、pocbit_catalog 和 pocbit_page。

概述

注册 REST 处理程序（public_permissions_check）接受 wawp_custom_fields，将其映射为 custom_fields_data，并在 wp_insert_user() 之后使用 update_user_meta() 写入每个键，且没有允许列表。攻击者可设置 wp_capabilities 和 wp_user_level 以获得 管理员 权限。

相关代码（4.8.6）：includes/api/class-wawp-rest-settings-api.php（/signup/(?P<op>…)）、includes/auth-services/class-wawp-otp-service.php（wawp_custom_fields → custom_fields_data）、includes/auth-services/class-wawp-signup.php（finish_registration_logic）。

当 注册 OTP 启用 时，第一次 signup 调用可能会停在 otp_verify（已发送挑战），注册仅在 OTP 之后完成 — 完整的未认证管理员利用链可能需要禁用 OTP 或单独的 OTP 绕过。在这种情况下，PoC 会报告 otp_required。

环境要求

pip install -r requirements.txt

Python 3.8+。

使用方法

# Version + REST surface + optional live signup probe (creates a throwaway user if OTP off)
python poc.py -u https://target.example --mode check

# Register admin-capable user (authorized targets only)
python poc.py -u https://target.example --mode exploit --verify

# Mass scan
python poc.py --list targets.example.txt --mode check --threads 20 --quiet

# JSON to stdout (single target)
python poc.py -u https://target.example --mode check 2>nul

输出

状态值（check）

FOFA 提示

body="/wp-content/plugins/automation-web-platform/"
body="/wp-json/wawp/"

法律声明

仅可在您拥有或获得明确测试许可的系统上使用。