CVE-2026-77771 — miniOrange 2FA (Free & Pro): 2FA-Bypass durch sitzungsgebundene OTP-Sperre

Ein Authentifizierungs-Bypass im miniOrange Two-Factor Authentication-Plugin für WordPress ermöglicht es einem Angreifer, der bereits über ein gültiges Passwort eines Opfers verfügt, den zweiten Faktor unbegrenzt per Brute-Force anzugreifen und damit die 2FA vollständig auszuhebeln.

---

Zusammenfassung

Betroffene Software

Beschreibung

Das Plugin erzwingt ein Limit für fehlgeschlagene Versuche des zweiten Faktors, aber der Zähler, der dieses Limit stützt, ist nicht an das angegriffene Konto gebunden. Stattdessen ist er an einen Bezeichner geknüpft, der vom Client geliefert wird und bei jeder Anfrage frei geändert werden kann.

Da der Angreifer den Schlüssel kontrolliert, kann jede Anfrage in einem frischen Zähler-Bucket landen. Die Sperre summiert sich daher nie gegen den Zielbenutzer, und die Anzahl der Rateversuche für das Einmalpasswort, die ein Angreifer durchführen kann, ist effektiv unbegrenzt.

Ein zweiter Validierungs-Endpunkt im selben Plugin führt überhaupt keine Versuchsbegrenzung durch, sodass der zweite Faktor auch über diesen Pfad angegriffen werden kann, ohne den Bezeichner zu manipulieren.

Das praktische Ergebnis ist, dass das OTP — ein kurzes numerisches Geheimnis mit kleinem Schlüsselraum — innerhalb seines Gültigkeitsfensters enumeriert werden kann und der zweite Authentifizierungsfaktor keinen nennenswerten Schutz bietet.

Ursache

• Der Zustand für Rate-Limit / Sperre ist an client-kontrollierte Eingaben geknüpft statt an die serverseitige Benutzeridentität (Benutzer-ID oder Login), die authentifiziert wird.
• Einer der OTP-Validierungs-Einstiegspunkte fehlt die Versuchsbegrenzung vollständig.

Voraussetzungen

• Der Angreifer muss bereits über gültige primäre Anmeldedaten (Benutzername und Passwort) für das Zielkonto verfügen — daher PR:L und AC:H im CVSS-Vektor.
• Für das Zielkonto muss der zweite Faktor des Plugins aktiviert sein; es ist keine Benutzerinteraktion erforderlich.

Auswirkung

Ein Angreifer, der im Besitz geleakter, ge-phishter oder wiederverwendeter Anmeldedaten ist, kann sich trotz aktivierter 2FA als das Opfer authentifizieren. Ist das Opfer ein Administrator, führt dies zur vollständigen Kompromittierung der WordPress-Installation — Vertraulichkeit, Integrität und Verfügbarkeit sind allesamt betroffen.

Proof of Concept

Ein Proof of Concept wird hier bewusst nicht veröffentlicht. Das Problem ist upstream behoben; Details, die zur Reproduktion ausreichen, sind dem Hersteller und WPScan verfügbar.

Grobe Reproduktionsskizze:

1. Authentifizierung an wp-login.php mit gültigen Anmeldedaten für ein Konto, bei dem der zweite Faktor des Plugins aktiviert ist.
2. Beobachten der Second-Factor-Challenge und der Anfrage, die das Einmalpasswort übermittelt.
3. Identifizieren des vom Client gelieferten Werts, an den der Sperrzähler geknüpft ist.
4. Übermitteln falscher Passcodes bei gleichzeitiger Variation dieses Werts; feststellen, dass der Zähler für fehlgeschlagene Versuche für das Zielkonto nie den konfigurierten Schwellenwert erreicht.
5. Wiederholen gegen den zweiten Validierungs-Endpunkt; feststellen, dass dort überhaupt kein Schwellenwert erzwungen wird.

Behebung

Aktualisieren Sie das Plugin auf Version 6.3.1 (Free) oder 19.3 (Pro) oder höher.

Defence-in-Depth-Maßnahmen für Betreiber, die nicht sofort aktualisieren können:

• Rate Limiting vor den Login- und OTP-Validierungs-Endpunkten auf Web-Server- oder WAF-Ebene anwenden, geknüpft an Quell-IP und an das authentifizierende Konto.
• Den Zugriff auf wp-login.php und auf die AJAX/REST-Validierungs-Endpunkte des Plugins nach Möglichkeit per IP einschränken.
• Auf wiederholte fehlgeschlagene Second-Factor-Versuche gegen ein einzelnes Konto überwachen und darauf alarmieren.
• Anmeldedaten für privilegierte Konten rotieren, die in Drittanbieter-Datenlecks offengelegt worden sein könnten.

Hinweise für Entwickler, die einen zweiten Faktor implementieren:

• Den gesamten Sperr- und Drosselungszustand an eine serverseitig abgeleitete Identität knüpfen, niemals an einen Wert, den der Client setzen kann.
• Dieselbe Drosselungsrichtlinie auf jedem Codepfad erzwingen, der einen Faktor validieren kann.
• Das OTP nach einer kleinen festen Anzahl von Fehlschlägen invalidieren und einen Neustart des Login-Ablaufs verlangen.

Zeitverlauf

Referenzen

• WPScan-Advisory: https://wpscan.com/vulnerability/e1e57673-18cb-4157-9d58-547af7101b04/
• WPScan-Plugin-Seite: https://wpscan.com/plugin/miniorange-2-factor-authentication/
• CVE-Eintrag: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-77771
• WPVDB-ID: e1e57673-18cb-4157-9d58-547af7101b04

Danksagung

Entdeckt und gemeldet von Pervin Zahidli — https://www.zahidlipervin.site/

Haftungsausschluss

Dieses Dokument wird zu defensiven und Bildungszwecken veröffentlicht. Die hier beschriebene Schwachstelle ist upstream behoben. Das Testen gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Genehmigung zur Bewertung haben, ist illegal.