یک آسیب‌پذیری امنیتی بسیار شدید (Critical) با شناسه CVE-2026-14281 در افزونه Automation Web Platform – Notifications and OTP for WooCommerce, Advanced Country Code برای وردپرس کشف شده است. این نقص امنیتی در تمامی نسخه‌ها تا inclusive 4.8.6 وجود دارد و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، دسترسی مدیریت (Administrator) سایت را به دست آورند.
تحلیل فنی آسیب‌پذیری
این مشکل از عدم بررسی مجوزها در مسیر REST route عمومی POST /wp-json/wawp/v1/signup/<op> نشأت می‌گیرد. به دلیل نبود یک لیست سفید (Allowlist) برای کلیدها در تابع finish_registration_logic، پارامتر wawp_custom_fields که توسط مهاجم کنترل می‌شود، مستقیماً به تابع update_user_meta() ارسال می‌گردد.
این نقص به مهاجم اجازه می‌دهد تا کلیدهای حساس متا مانند wp_capabilities و wp_user_level را مقداردهی کرده و یک حساب کاربری جدید با نقش مدیر (Administrator) ایجاد کند.
دور زدن مکانیزم OTP
در صورتی که تاییدیه OTP هنگام ثبت‌نام فعال باشد، این افزونه توکن نشست OTP (موسوم به otp_transient) را به صورت متن ساده (Plaintext) در بدنه پاسخ HTTP بازمی‌گرداند. همچنین، هندلر handle_magic_link_request() این توکن را در هر درخواست GET بدون بررسی مقدار واقعی کد OTP، به عنوان «تایید شده» علامت‌گذاری می‌کند. این امر باعث می‌شود مرحله تایید OTP به سادگی و بدون نیاز به دسترسی به ایمیل یا SMS قربانی، دور زده شود.
توصیه‌های امنیتی و مقابله
- حذف یا غیرفعال‌سازی: توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه مذکور را از تمامی نصب‌های وردپرس حذف یا غیرفعال کنید.
- راهکار جایگزین (WAF): در صورتی که استفاده از این افزونه برای کسب‌وکار حیاتی است، بلافاصله درخواست‌های POST غیرمجاز به اندپوینت
/wp-json/wawp/v1/signup/را از طریق Web Application Firewall (WAF) یا قوانین Reverse Proxy مسدود نمایید.
