CVE-2026-85984

Resumen

El plugin miniOrange OTP Login, Verification and SMS Notifications para WordPress es vulnerable a la omisión de autenticación a través del parámetro mo_wp_login_intent en todas las versiones hasta la 5.5.5, inclusive. Esto se debe a la falta de una protección de intención de contraseña en la rama de configuración con skip_pass_fallback habilitado de la función mo_by_pass_login(), que considera la pertenencia al rol de administrador por sí sola como autenticación suficiente siempre que el parámetro POST no autenticado y no verificado mo_wp_login_intent se envíe con el valor otp, lo que provoca que mo_get_user() omita wp_authenticate_username_password() y resuelva un WP_User únicamente a partir de una búsqueda por nombre de usuario. Esto hace posible que atacantes no autenticados inicien sesión como cualquier cuenta de administrador existente proporcionando solo un nombre de usuario conocido y una contraseña vacía junto con mo_wp_login_intent=otp, sin necesidad de verificación de contraseña ni de OTP. La explotación está condicionada a que un administrador del sitio haya habilitado simultáneamente las siguientes opciones del plugin: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password y Admin OTP Bypass.

Fuentes

• CVE-2026-85984PoC

  Prueba de concepto en Python para CVE-2026-85984: comprueba y explota el bypass de autenticación de administrador de WordPress sin autenticar del plugin miniOrange OTP (≤5.5.5), con escaneo de versión y enumeración de usuarios.