CVE-2026-77771 — miniOrange 2FA (المجاني والاحترافي): تجاوز المصادقة الثنائية عبر قفل OTP المرتبط بالجلسة

يسمح تجاوز للمصادقة في إضافة miniOrange Two-Factor Authentication الخاصة بـ WordPress لمهاجم يمتلك بالفعل كلمة المرور الصحيحة للضحية بتخمين العامل الثاني دون حدود، مما يُبطل المصادقة الثنائية بالكامل.

---

الملخص

البرمجيات المتأثرة

الوصف

تفرض الإضافة حدًا على محاولات العامل الثاني الفاشلة، لكن العدّاد الذي يدعم هذا الحد غير مرتبط بالحساب المستهدف. بدلاً من ذلك، يُربط بمعرّف يوفّره العميل ويمكن تغييره بحرية في كل طلب.

ولأن المهاجم يتحكم في المفتاح، يمكن جعل كل طلب يقع في دلو عدّاد جديد. وبالتالي لا يتراكم القفل أبدًا ضد المستخدم المستهدف، ويكون عدد تخمينات كلمة المرور لمرة واحدة التي يمكن للمهاجم إجراؤها غير محدود فعليًا.

تُنفّذ نقطة تحقق ثانية في الإضافة نفسها دون أي تحديد للمحاولات على الإطلاق، لذا يمكن مهاجمة العامل الثاني عبر ذلك المسار حتى دون التلاعب بالمعرّف.

النتيجة العملية هي أنه يمكن تعداد OTP — وهو سر رقمي قصير بمساحة مفاتيح صغيرة — خلال نافذة صلاحيته، ولا يوفّر عامل المصادقة الثاني أي حماية ذات معنى.

السبب الجذري

• حالة تحديد المعدل / القفل مرتبطة بـ مدخل يتحكم فيه العميل بدلاً من هوية المستخدم من جانب الخادم (معرّف المستخدم أو اسم الدخول) الذي تتم مصادقته.
• أحد نقاط دخول التحقق من OTP يفتقد تحديد المحاولات بالكامل.

الشروط المسبقة

• يجب أن يمتلك المهاجم بالفعل بيانات اعتماد أولية صحيحة (اسم المستخدم وكلمة المرور) للحساب المستهدف — ومن هنا PR:L و AC:H في متجه CVSS.
• يجب أن يكون العامل الثاني للإضافة مفعّلاً على الحساب المستهدف؛ ولا يُشترط أي تفاعل من المستخدم.

التأثير

يمكن لمهاجم يمتلك بيانات اعتماد مسرّبة أو مصيدة تصيّد أو معاد استخدامها إكمال المصادقة بصفة الضحية رغم تفعيل المصادقة الثنائية. وحيث تكون الضحية مسؤولاً، يؤدي ذلك إلى اختراق كامل لتثبيت WordPress — وتتأثر السرية والسلامة والتوافر جميعًا.

إثبات المفهوم

لم يُنشر إثبات المفهوم هنا عن قصد. المشكلة مُصلحة في المصدر؛ والتفاصيل الكافية لإعادة إنتاجها متاحة للمورّد ولـ WPScan.

مخطط إعادة الإنتاج على مستوى عالٍ:

1. صادِق على wp-login.php ببيانات اعتماد صحيحة لحساب يكون فيه العامل الثاني للإضافة مفعّلاً.
2. لاحظ تحدّي العامل الثاني والطلب الذي يرسل كلمة المرور لمرة واحدة.
3. حدّد القيمة التي يوفّرها العميل والتي يرتبط بها عدّاد القفل.
4. أرسل رموز مرور غير صحيحة مع تغيير تلك القيمة؛ ولاحظ أن عدّاد المحاولات الفاشلة لا يصل أبدًا إلى الحد المُهيّأ للحساب المستهدف.
5. كرّر ذلك ضد نقطة التحقق الثانية؛ ولاحظ أنه لا يُفرض أي حد هناك على الإطلاق.

المعالجة

حدّث الإضافة إلى الإصدار 6.3.1 (المجاني) أو 19.3 (الاحترافي) أو أحدث.

تدابير الدفاع في العمق للمشغّلين الذين لا يمكنهم التحديث فورًا:

• طبّق تحديد المعدل أمام نقاط دخول تسجيل الدخول والتحقق من OTP على مستوى خادم الويب أو طبقة WAF، مرتبطًا بعنوان IP المصدر وبالحساب الذي تتم مصادقته.
• قيّد الوصول إلى wp-login.php وإلى نقاط تحقق AJAX/REST الخاصة بالإضافة حسب عنوان IP حيثما أمكن.
• راقب المحاولات الفاشلة المتكررة للعامل الثاني ضد حساب واحد ونبّه عليها.
• بدّل بيانات الاعتماد للحسابات ذات الصلاحيات العالية التي قد تكون تعرّضت في اختراقات طرف ثالث.

إرشادات للمطوّرين الذين ينفّذون عاملًا ثانيًا:

• اربط كل حالة القفل والتقييد بهوية مستمدّة من الخادم، وليس أبدًا بقيمة يمكن للعميل تعيينها.
• فرض سياسة التقييد نفسها على كل مسار برمجي يمكنه التحقق من عامل.
• أبطِل صلاحية OTP بعد عدد ثابت صغير من الإخفاقات واطلب إعادة بدء تدفق تسجيل الدخول.

الجدول الزمني

المراجع

• إرشاد WPScan: https://wpscan.com/vulnerability/e1e57673-18cb-4157-9d58-547af7101b04/
• صفحة إضافة WPScan: https://wpscan.com/plugin/miniorange-2-factor-authentication/
• سجل CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-77771
• معرّف WPVDB: e1e57673-18cb-4157-9d58-547af7101b04

الفضل

اكتُشفت وأُبلغ عنها بواسطة Pervin Zahidli — https://www.zahidlipervin.site/

إخلاء المسؤولية

نُشر هذا المستند لأغراض دفاعية وتعليمية. الثغرة الموصوفة هنا مُصلحة في المصدر. اختبارها ضد أنظمة لا تملكها أو لا تملك تفويضًا كتابيًا صريحًا لتقييمها يُعدّ غير قانوني.