CVE-2026-85984

Zusammenfassung

Das miniOrange OTP Login, Verification and SMS Notifications-Plugin für WordPress ist in allen Versionen bis einschließlich 5.5.5 über den Parameter mo_wp_login_intent anfällig für eine Umgehung der Authentifizierung. Ursache ist eine fehlende Passwort-Intent-Prüfung im Konfigurationszweig mit aktiviertem skip_pass_fallback der Funktion mo_by_pass_login(), die allein die Zugehörigkeit zur Administratorrolle als ausreichende Authentifizierung behandelt, sobald der nicht authentifizierte, nicht verifizierte POST-Parameter mo_wp_login_intent mit dem Wert otp übermittelt wird, wodurch mo_get_user() wp_authenticate_username_password() überspringt und einen WP_User ausschließlich anhand einer Benutzernamen-Suche auflöst. Dadurch ist es nicht authentifizierten Angreifern möglich, sich als jedes bestehende Administratorkonto anzumelden, indem sie lediglich einen bekannten Benutzernamen und ein leeres Passwort zusammen mit mo_wp_login_intent=otp übermitteln, ohne dass eine Passwort- oder OTP-Verifizierung erforderlich ist. Die Ausnutzung setzt voraus, dass ein Site-Administrator gleichzeitig die folgenden Plugin-Optionen aktiviert hat: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password und Admin OTP Bypass.

Quellen

• CVE-2026-85984PoC

  Python-PoC für CVE-2026-85984: prüft und nutzt die unauthentifizierte WordPress-Admin-Authentifizierungsumgehung des miniOrange OTP-Plugins (≤5.5.5) aus, mit Versionsscan und Benutzerenumeration.