CVE-2026-85984

Résumé

Le plugin miniOrange OTP Login, Verification and SMS Notifications pour WordPress est vulnérable à un contournement d'authentification via le paramètre mo_wp_login_intent dans toutes les versions jusqu'à la 5.5.5 incluse. Cela est dû à l'absence d'une protection liée à l'intention de mot de passe dans la branche de configuration activant skip_pass_fallback de la fonction mo_by_pass_login(), qui considère l'appartenance au rôle administrateur comme une authentification suffisante dès lors que le paramètre POST non authentifié et non vérifié mo_wp_login_intent est soumis avec la valeur otp, ce qui amène mo_get_user() à ignorer wp_authenticate_username_password() et à résoudre un WP_User uniquement à partir d'une recherche par nom d'utilisateur. Cela permet à des attaquants non authentifiés de se connecter en tant que n'importe quel compte administrateur existant en fournissant uniquement un nom d'utilisateur connu et un mot de passe vide accompagné de mo_wp_login_intent=otp, sans aucune vérification du mot de passe ni de l'OTP. L'exploitation est conditionnée à ce qu'un administrateur du site ait simultanément activé les options suivantes du plugin : WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password, et Admin OTP Bypass.

Sources

• CVE-2026-85984PoC

  PoC Python pour CVE-2026-85984 : vérifie et exploite le contournement d'authentification admin WordPress non authentifié du plugin miniOrange OTP (≤5.5.5), avec scan de version et énumération d'utilisateurs.