CVE-2026-85984
KrytyczneCVSS 9.8Streszczenie
Wtyczka miniOrange OTP Login, Verification and SMS Notifications dla WordPress jest podatna na obejście uwierzytelniania poprzez parametr mo_wp_login_intent we wszystkich wersjach do 5.5.5 włącznie. Wynika to z braku zabezpieczenia hasła w gałęzi konfiguracji skip_pass_fallback funkcji mo_by_pass_login(), która traktuje samo członkostwo w roli administratora jako wystarczające uwierzytelnienie, gdy nieuwierzytelniony, niezweryfikowany parametr POST mo_wp_login_intent zostanie przesłany z wartością otp, powodując pominięcie wp_authenticate_username_password() przez mo_get_user() i rozwiązanie WP_User wyłącznie na podstawie nazwy użytkownika. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolne istniejące konto administratora poprzez podanie znanej nazwy użytkownika i pustego hasła wraz z mo_wp_login_intent=otp, bez wymogu weryfikacji hasła lub OTP. Wykorzystanie jest warunkowe: administrator witryny musi jednocześnie włączyć następujące opcje wtyczki: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password oraz Admin OTP Bypass.
Ocena ryzyka
Podatność umożliwia nieuwierzytelnionym atakującym pełne przejęcie kont administratora WordPress, co prowadzi do całkowitego przejęcia witryny, kradzieży danych i możliwości instalacji złośliwego oprogramowania.
Rekomendacja
Należy zaktualizować wtyczkę miniOrange OTP Login do wersji nowszej niż 5.5.5. Dodatkowo należy zweryfikować konfigurację wtyczki i wyłączyć opcje takie jak Admin OTP Bypass, jeśli nie są wymagane.
Inne podatności w miniOrange OTP Login, Verification and SMS Notifications
Oryginalny opis (angielski, źródło NVD)
The miniOrange OTP Login, Verification and SMS Notifications plugin for WordPress is vulnerable to Authentication Bypass via the mo_wp_login_intent parameter in all versions up to, and including, 5.5.5. This is due to a missing password-intent guard in the skip_pass_fallback-enabled configuration branch of the mo_by_pass_login() function, which treats administrator role membership alone as sufficient authentication whenever the unauthenticated, unverified POST parameter mo_wp_login_intent is submitted with the value otp, causing mo_get_user() to skip wp_authenticate_username_password() and resolve a WP_User purely from a username lookup. This makes it possible for unauthenticated attackers to log in as any existing administrator account by supplying only a known username and an empty password alongside mo_wp_login_intent=otp, with no password or OTP verification required. Exploitation is conditional on a site administrator having simultaneously enabled the following plugin options: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password, and Admin OTP Bypass.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS