CVE-2026-16619
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka miniOrange 2FA dla WordPress przed wersją 6.2.8 nie ogranicza poprawnie liczby prób weryfikacji drugiego czynnika, śledząc je na podstawie identyfikatora dostarczonego przez klienta, który jest wydawany ponownie przy każdym logowaniu. Pozwala to atakującemu, który zna hasło użytkownika, na zgadywanie kodu jednorazowego bez ograniczeń i przejęcie konta.
Ocena ryzyka
Atakujący może przejąć konto użytkownika, znając tylko hasło, co prowadzi do naruszenia bezpieczeństwa konta i danych.
Rekomendacja
Zaktualizuj wtyczkę do wersji 6.2.8 lub nowszej. Wdróż dodatkowe mechanizmy ograniczania prób po stronie serwera.
Inne podatności w miniOrange 2FA WordPress plugin
Zobacz wszystkie- CVE-2026-77770Krytyczne
Wtyczka miniOrange 2FA dla WordPressa w wersjach przed 6.3.1 i przed 19.3 nie wymaga zweryfikowanej transakcji przed usunięciem opcji witryny, których nazwy pochodzą z niezaufanego wejścia żądania. Dowolny odwiedzający może usunąć dowolne opcje, co może zablokować wszystkim administratorom dostęp do panelu lub dezaktywować wtyczkę miniOrange 2FA w wersjach przed 6.3.1 i przed 19.3.
- CVE-2026-77771Wysokie
Wtyczka miniOrange 2FA dla WordPressa w wersjach przed 6.3.1 i przed 19.3 nie ogranicza liczby prób drugiego składnika uwierzytelniania do atakowanego konta, lecz wiąże limit z identyfikatorem dostarczanym przez klienta, który można dowolnie zmieniać. Atakujący znający hasło ofiary może wykonywać nieograniczoną liczbę prób odgadnięcia jednorazowego kodu i obejść drugi składnik. Drugi punkt walidacji nie stosuje żadnego limitu prób.
- CVE-2026-16036Wysokie
Wtyczka miniOrange 2FA dla WordPressa przed wersją 6.2.7 nie wiąże drugiego czynnika konfigurowanego podczas wyzwania dwuskładnikowego przed logowaniem z istniejącym czynnikiem konta docelowego, co pozwala atakującemu znającemu hasło użytkownika na ponowne powiązanie drugiego czynnika z kontrolowanym przez atakującego celem, ukończenie wyzwania i przejęcie konta, w tym kont administratora.
Oryginalny opis (angielski, źródło NVD)
The miniOrange 2FA WordPress plugin before 6.2.8 does not correctly limit the number of second-factor verification attempts, tracking them against a client-supplied identifier that is reissued on every login, allowing an attacker who already knows a user's password to guess the one-time code without limit and take over the account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS