CVE-2025-4094 – WordPress Digits Plugin < 8.4.6.1 - OTP-Authentifizierungsumgehung

Autor: Saleh Tarawneh
CVE-ID: CVE-2025-4094
Schweregrad: Kritisch (CVSS 9.8)
Status: Behoben in Version 8.4.6.1

Schwachstellenbeschreibung

Das Digits WordPress-Plugin vor Version 8.4.6.1 ist aufgrund fehlender Ratenbegrenzung anfällig für OTP-Brute-Force-Angriffe. Dies ermöglicht nicht authentifizierten Angreifern, die SMS-OTP-basierte Authentifizierung zu umgehen und Passwörter zurückzusetzen.

• CWE-287: Fehlerhafte Authentifizierung
• OWASP A2: Gebrochene Authentifizierung

Proof of Concept

Option 1: Python-Skript (automatisiert)

Bearbeiten Sie die Platzhalter in digits_otp_bypass_cve2025-4094.py:

• digits_phone
• instance_id
• digits_form
• Referer / redirect_page
• Alle anderen erforderlichen Werte aus der abgefangenen Anfrage

Dann führen Sie aus:

python3 digits_otp_bypass_cve2025-4094.py

Option 2: Burp Suite Pro (manuelles Brute-Force)

Sie können den Angriff auch mit Burp Suite Pro und Intruder durchführen:

1. Fangen Sie die OTP-Überprüfungsanfrage mit Burp Proxy während des Logins oder des „Passwort vergessen“-Ablaufs ab.
2. Klicken Sie mit der rechten Maustaste auf die Anfrage → An Intruder senden
3. Setzen Sie die Payload-Position auf den Parameter sms_otp.
4. Laden Sie eine Payload-Liste von 000000 bis 999999:
5. Starten Sie den Angriff und überwachen Sie auf eine erfolgreiche Antwort, indem Sie Folgendes prüfen:
   • "success":true im Body
   • Änderung der Antwortlänge

Diese Methode ist nützlich für die visuelle Inspektion und die Feinabstimmung von Erkennungsschwellenwerten in Burp.

Erweitertes Skript

• Erweitertes PoC von POCPioneer

Referenzen

• WPScan Schwachstelleneintrag
• WPVulnDB Eintrag
• Offizielle Plugin-Seite
• CVE-ID – CVE-2025-4094