CVE-2026-14281

Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code plugin for WordPress'in 4.8.6 dahil tüm sürümleri Yetki Yükseltme zafiyetine sahiptir. Bu durum, herkese açık olan `POST /wp-json/wawp/v1/signup/<op>` REST rotasında izin denetiminin eksik olması ve `finish_registration_logic` fonksiyonunda bir anahtar izin listesinin bulunmaması nedeniyle oluşmaktadır; bu fonksiyon, saldırgan tarafından kontrol edilen `wawp_custom_fields` parametresini doğrudan `update_user_meta()` içine kopyalayarak `wp_capabilities` ve `wp_user_level` gibi hassas meta anahtarlarının çağıran kişi tarafından ayarlanmasına izin verir. Bu durum, kimliği doğrulanmamış saldırganların yönetici rolüyle yeni bir hesap kaydetmesini ve siteye tam yönetici erişimi sağlamasını mümkün kılar. Kayıt sırasında OTP doğrulaması etkinleştirildiğinde, OTP oturum belirteci (`otp_transient`), HTTP yanıt gövdesinde düz metin olarak döndürülür ve `handle_magic_link_request()` işleyicisi, OTP kod değerini hiçbir zaman kontrol etmeden, bu belirteci içeren herhangi bir kimlik doğrulanmamış GET isteği üzerine söz konusu belirteci doğrulanmış olarak işaretler; bu da OTP adımının gelen kutusu veya SMS erişimine gerek kalmadan kolayca atlatılabilmesine neden olur.