CVE-2026-16619

WysokieCVSS 7.5

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka miniOrange 2FA dla WordPress przed wersją 6.2.8 nie ogranicza poprawnie liczby prób weryfikacji drugiego czynnika, śledząc je na podstawie identyfikatora dostarczonego przez klienta, który jest wydawany ponownie przy każdym logowaniu. Pozwala to atakującemu, który zna hasło użytkownika, na zgadywanie kodu jednorazowego bez ograniczeń i przejęcie konta.

Ocena ryzyka

Atakujący może przejąć konto użytkownika, znając tylko hasło, co prowadzi do naruszenia bezpieczeństwa konta i danych.

Rekomendacja

Zaktualizuj wtyczkę do wersji 6.2.8 lub nowszej. Wdróż dodatkowe mechanizmy ograniczania prób po stronie serwera.

Inne podatności w miniOrange 2FA WordPress plugin

CVE-2026-16036Wysokie
Wtyczka miniOrange 2FA dla WordPressa przed wersją 6.2.7 nie wiąże drugiego czynnika konfigurowanego podczas wyzwania dwuskładnikowego przed logowaniem z istniejącym czynnikiem konta docelowego, co pozwala atakującemu znającemu hasło użytkownika na ponowne powiązanie drugiego czynnika z kontrolowanym przez atakującego celem, ukończenie wyzwania i przejęcie konta, w tym kont administratora.

Oryginalny opis (angielski, źródło NVD)

The miniOrange 2FA WordPress plugin before 6.2.8 does not correctly limit the number of second-factor verification attempts, tracking them against a client-supplied identifier that is reissued on every login, allowing an attacker who already knows a user's password to guess the one-time code without limit and take over the account.