CVE-2026-85984

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: —
CWE: CWE-287
KEV Durumu: Hayır

Yayım tarihi: 26 Eylül 2026

WordPress için miniOrange OTP Giriş, Doğrulama ve SMS Bildirimleri eklentisi, 5.5.5 sürümüne kadar olan tüm sürümlerde mo_wp_login_intent parametresindeki Authentication Bypass zafiyetiyle etkilenmektedir. Bu, mo_by_pass_login() fonksiyonunun skip_pass_fallback etkinleştirilmiş yapılandırma dalındaki eksik parola-niyet korumasından kaynaklanmaktadır. Yönetici rolü üyeliğinin yeterli kimlik doğrulama olarak kabul edildiği bu durumda, kimliği doğrulanmamış, doğrulanmamış mo_wp_login_intent POST parametresinin otp değeriyle gönderilmesi, mo_get_user()'in wp_authenticate_username_password()'u atlamasına ve yalnızca bir kullanıcı adı sorgusundan WP_User çözmesine neden olur. Bu, saldırganların yalnızca bilinen bir kullanıcı adı ve boş bir parola ile mo_wp_login_intent=otp değerini sağlayarak herhangi bir mevcut yönetici hesabına giriş yapmasına olanak tanır ve parola veya OTP doğrulaması gerekmez. İstismar, bir site yöneticisinin aynı anda aşağıdaki eklenti seçeneklerini etkinleştirmesine bağlıdır: WP Giriş OTP, Sadece OTP ile Giriş, Kullanıcıların Kullanıcı Adı ve Parola ile Giriş Yapmasına İzin Ver, ve Yönetici OTP Atlatma.

Orijinal açıklama (İngilizce)

The miniOrange OTP Login, Verification and SMS Notifications plugin for WordPress is vulnerable to Authentication Bypass via the mo_wp_login_intent parameter in all versions up to, and including, 5.5.5. This is due to a missing password-intent guard in the skip_pass_fallback-enabled configuration branch of the mo_by_pass_login() function, which treats administrator role membership alone as sufficient authentication whenever the unauthenticated, unverified POST parameter mo_wp_login_intent is submitted with the value otp, causing mo_get_user() to skip wp_authenticate_username_password() and resolve a WP_User purely from a username lookup. This makes it possible for unauthenticated attackers to log in as any existing administrator account by supplying only a known username and an empty password alongside mo_wp_login_intent=otp, with no password or OTP verification required. Exploitation is conditional on a site administrator having simultaneously enabled the following plugin options: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password, and Admin OTP Bypass.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.