CVE-2026-16035

ŚrednieCVSS 4.3

Opublikowano: 04/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka miniOrange 2FA dla WordPressa przed wersją 6.2.7 nie ogranicza, kto może wywołać wysyłkę OTP do konfiguracji drugiego czynnika, ani nie wiąże odbiorcy OTP z adresem zapisującego się użytkownika. Pozwala to użytkownikowi z niskimi uprawnieniami na wysyłanie e-maili z jednorazowym hasłem do dowolnych odbiorców oraz na wyczerpanie przydziału OTP, uniemożliwiając legalnym użytkownikom otrzymanie kodów.

Ocena ryzyka

Wyczerpanie limitu OTP może uniemożliwić legalnym użytkownikom logowanie się, a wysyłanie OTP do dowolnych odbiorców może być wykorzystane do phishingu lub spamu.

Rekomendacja

Zaktualizuj wtyczkę miniOrange 2FA do wersji 6.2.7 lub nowszej. Ogranicz dostęp do funkcji konfiguracji 2FA i monitoruj wysyłkę OTP.

Inne podatności w miniOrange 2FA

CVE-2026-12695Wysokie
Wtyczka miniOrange 2FA dla WordPressa przed wersją 6.2.6 nie weryfikuje przesłanego jednorazowego hasła względem tajnego klucza docelowego użytkownika, zamiast tego weryfikuje je względem wartości dostarczonej przez atakującego. Pozwala to nieuwierzytelnionemu atakującemu, który zna hasło ofiary, na ominięcie uwierzytelniania dwuskładnikowego i uzyskanie dostępu do konta ofiary, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

The miniOrange 2FA WordPress plugin before 6.2.7 does not restrict who can trigger its second-factor configuration OTP send, nor bind the OTP recipient to the enrolling user's own address, allowing a low-privileged user to send one-time-passcode emails to arbitrary recipients and to exhaust the site's metered OTP allowance, preventing legitimate users from receiving their second-factor codes.