CVE-2025-4094 – Complemento Digits de WordPress < 8.4.6.1 - Omisión de Autenticación OTP

Autor: Saleh Tarawneh
ID CVE: CVE-2025-4094
Gravedad: Crítica (CVSS 9.8)
Estado: Corregido en la versión 8.4.6.1

Descripción de la Vulnerabilidad

El complemento Digits de WordPress anterior a la versión 8.4.6.1 es vulnerable a ataques de fuerza bruta OTP debido a la falta de limitación de tasa. Esto permite a atacantes no autenticados omitir la autenticación basada en OTP por SMS y restablecer contraseñas.

• CWE-287: Autenticación Inadecuada
• OWASP A2: Autenticación Rota

Prueba de Concepto

Opción 1: Script de Python (Automatizado)

Edite los marcadores de posición dentro de digits_otp_bypass_cve2025-4094.py:

• digits_phone
• instance_id
• digits_form
• Referer / redirect_page
• Cualquier otro valor requerido de la solicitud interceptada

Luego ejecute:

python3 digits_otp_bypass_cve2025-4094.py

Opción 2: Burp Suite Pro (Fuerza Bruta Manual)

También puede realizar el ataque usando Burp Suite Pro e Intruder:

1. Intercepte la solicitud de verificación OTP usando Burp Proxy durante el inicio de sesión o el flujo de "Olvidé mi contraseña".
2. Haga clic derecho en la solicitud → Enviar a Intruder
3. Establezca la posición del payload en el parámetro sms_otp.
4. Cargue una lista de payloads desde 000000 hasta 999999:
5. Inicie el ataque y supervise una respuesta exitosa verificando:
   • "success":true en el cuerpo
   • Cambio en la longitud de la respuesta

Este método es útil para la inspección visual y el ajuste fino de los umbrales de detección dentro de Burp.

Script Mejorado

• PoC Mejorado por POCPioneer

Referencias

• Entrada de vulnerabilidad de WPScan
• Entrada de WPVulnDB
• Página oficial del complemento
• ID CVE – CVE-2025-4094