Automation Web Platform 插件超危漏洞预警（CVE-2026-14281）

漏洞速览

• 漏洞编号：CVE-2026-14281
• 风险评分：9.8（严重）
• 首次披露：2026-09-24
• 最近更新：2026-09-24
• 软件类型：插件
• 软件标识：automation-web-platform
• 受影响版本：<= 4.8.6
• 修复版本：4.8.7
• 是否已修复：是

漏洞详情

Automation Web Platform – Notifications and OTP for WooCommerce（高级国家代码）插件在 4.8.6 及之前的所有版本中存在权限提升漏洞。该漏洞源于对公开可访问的 REST 路由 POST /wp-json/wawp/v1/signup/<op> 缺少权限校验，且 finish_registration_logic 函数未对键名进行白名单限制，直接将攻击者可控的 wawp_custom_fields 参数写入 update_user_meta()，导致 wp_capabilities、wp_user_level 等敏感用户元数据可以被调用者任意设置。未授权攻击者因此能够注册拥有管理员角色的新账户，从而获得站点的完整后台访问权限。当注册时启用 OTP 验证，OTP 会话令牌（otp_transient）会以明文形式返回在 HTTP 响应正文中，而 handle_magic_link_request() 处理程序在任何包含该令牌的未认证 GET 请求中都会将其标记为已验证，根本不检查 OTP 码值，从而使得 OTP 步骤可以被轻易绕过，攻击者无需获取短信或邮箱即可完成验证。

影响与风险

• 漏洞类型：Unauthenticated Privilege Escalation via 'wawp_custom_fields' Parameter
• 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
• 研究人员：Jiemook

修复建议

1. 按官方建议执行修复：更新至 4.8.7 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• WordPress 插件源码文件（Trac）
• CVE 官方记录