CVE-2026-85984
miniOrange OTP Login, Verification and SMS Notifications <= 5.5.5 - تجاوز المصادقة دون مصادقة عبر المعامل 'mo_wp_login_intent'
- تم النشر
- 26/09/2026
- محدث
- 26/09/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 64.0%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
إضافة miniOrange OTP Login, Verification and SMS Notifications لـ WordPress معرّضة لتجاوز المصادقة عبر المعامل mo_wp_login_intent في جميع الإصدارات حتى الإصدار 5.5.5 وما يشمله. ويعود ذلك إلى غياب حارس للتحقق من كلمة المرور في فرع التهيئة المُفعَّل فيه skip_pass_fallback ضمن الدالة mo_by_pass_login()، والذي يعتبر عضوية دور المسؤول وحدهما مصادقةً كافية كلما أُرسل المعامل POST غير الموثَّق وغير المُتحقَّق منه mo_wp_login_intent بالقيمة otp، مما يجعل mo_get_user() تتخطى wp_authenticate_username_password() وتستنتج كائن WP_User اعتمادًا على البحث عن اسم المستخدم فقط. وهذا يجعل من الممكن للمهاجمين غير الموثَّقين تسجيل الدخول بأي حساب مسؤول موجود عبر تقديم اسم مستخدم معروف وكلمة مرور فارغة إلى جانب mo_wp_login_intent=otp، دون الحاجة إلى أي تحقق من كلمة المرور أو OTP. ويشترط استغلال الثغرة أن يكون مسؤول الموقع قد فعّل في الوقت نفسه خيارات الإضافة التالية: WP Login OTP، وLogin with Only OTP، وAllow Users to Login with Username and Password، وAdmin OTP Bypass.
المصادر
إثبات مفهوم بلغة Python للثغرة CVE-2026-85984: يفحص ويستغل تجاوز المصادقة غير الموثّق لمسؤول WordPress في إضافة miniOrange OTP (الإصدار ≤5.5.5)، مع فحص الإصدار وتعداد المستخدمين.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.