CVE-2026-12695

WysokieCVSS 8.1

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka miniOrange 2FA dla WordPressa przed wersją 6.2.6 nie weryfikuje przesłanego jednorazowego hasła względem tajnego klucza docelowego użytkownika, zamiast tego weryfikuje je względem wartości dostarczonej przez atakującego. Pozwala to nieuwierzytelnionemu atakującemu, który zna hasło ofiary, na ominięcie uwierzytelniania dwuskładnikowego i uzyskanie dostępu do konta ofiary, w tym administratorów.

Ocena ryzyka

Atakujący może przejąć konto administratora, co prowadzi do pełnej kontroli nad witryną.

Rekomendacja

Zaktualizuj wtyczkę miniOrange 2FA do wersji 6.2.6 lub nowszej.

Inne podatności w miniOrange 2FA

CVE-2026-16035Średnie
Wtyczka miniOrange 2FA dla WordPressa przed wersją 6.2.7 nie ogranicza, kto może wywołać wysyłkę OTP do konfiguracji drugiego czynnika, ani nie wiąże odbiorcy OTP z adresem zapisującego się użytkownika. Pozwala to użytkownikowi z niskimi uprawnieniami na wysyłanie e-maili z jednorazowym hasłem do dowolnych odbiorców oraz na wyczerpanie przydziału OTP, uniemożliwiając legalnym użytkownikom otrzymanie kodów.

Oryginalny opis (angielski, źródło NVD)

The miniOrange 2FA WordPress plugin before 6.2.6 does not validate the submitted one-time password against the targeted user's stored secret, instead verifying it against an attacker-supplied value, allowing an unauthenticated attacker who knows a victim's password to bypass two-factor authentication and gain access to the victim's account, including administrators.