miniOrange OTP Login, Verification and SMS Notifications <= 5.5.5 – Unauthentifizierte Authentifizierungsumgehung über den Parameter 'mo_wp_login_intent'
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Das miniOrange OTP Login, Verification and SMS Notifications-Plugin für WordPress ist in allen Versionen bis einschließlich 5.5.5 über den Parameter mo_wp_login_intent anfällig für eine Umgehung der Authentifizierung. Ursache ist eine fehlende Passwort-Intent-Prüfung im Konfigurationszweig mit aktiviertem skip_pass_fallback der Funktion mo_by_pass_login(), die allein die Zugehörigkeit zur Administratorrolle als ausreichende Authentifizierung behandelt, sobald der nicht authentifizierte, nicht verifizierte POST-Parameter mo_wp_login_intent mit dem Wert otp übermittelt wird, wodurch mo_get_user() wp_authenticate_username_password() überspringt und einen WP_User ausschließlich anhand einer Benutzernamen-Suche auflöst. Dadurch ist es nicht authentifizierten Angreifern möglich, sich als jedes bestehende Administratorkonto anzumelden, indem sie lediglich einen bekannten Benutzernamen und ein leeres Passwort zusammen mit mo_wp_login_intent=otp übermitteln, ohne dass eine Passwort- oder OTP-Verifizierung erforderlich ist. Die Ausnutzung setzt voraus, dass ein Site-Administrator gleichzeitig die folgenden Plugin-Optionen aktiviert hat: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password und Admin OTP Bypass.
Python-PoC für CVE-2026-85984: prüft und nutzt die unauthentifizierte WordPress-Admin-Authentifizierungsumgehung des miniOrange OTP-Plugins (≤5.5.5) aus, mit Versionsscan und Benutzerenumeration.
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.