CVE-2025-4094 – Plugin WordPress Digits < 8.4.6.1 - Contournement de l'authentification OTP

Auteur : Saleh Tarawneh
Identifiant CVE : CVE-2025-4094
Sévérité : Critique (CVSS 9.8)
Statut : Corrigé dans la version 8.4.6.1

Description de la vulnérabilité

Le plugin WordPress Digits antérieur à la version 8.4.6.1 est vulnérable aux attaques par force brute sur l'OTP en raison de l'absence de limitation de débit. Cela permet à des attaquants non authentifiés de contourner l'authentification basée sur l'OTP par SMS et de réinitialiser les mots de passe.

• CWE-287 : Authentification incorrecte
• OWASP A2 : Authentification cassée

Preuve de concept

Option 1 : Script Python (automatisé)

Modifiez les placeholders dans le fichier digits_otp_bypass_cve2025-4094.py :

• digits_phone
• instance_id
• digits_form
• Referer / redirect_page
• Toute autre valeur requise à partir de la requête interceptée

Puis exécutez :

python3 digits_otp_bypass_cve2025-4094.py

Option 2 : Burp Suite Pro (force brute manuelle)

Vous pouvez également effectuer l'attaque à l'aide de Burp Suite Pro et Intruder :

1. Interceptez la requête de vérification OTP à l'aide de Burp Proxy lors de la connexion ou du flux « Mot de passe oublié ».
2. Cliquez avec le bouton droit sur la requête → Envoyer à Intruder
3. Définissez la position de la charge utile sur le paramètre sms_otp.
4. Chargez une liste de charge utile de 000000 à 999999 :
5. Lancez l'attaque et surveillez une réponse réussie en vérifiant :
   • "success":true dans le corps de la réponse
   • Modification de la longueur de la réponse

Cette méthode est utile pour l'inspection visuelle et le réglage fin des seuils de détection dans Burp.

Script amélioré

• PoC amélioré par POCPioneer

Références

• Entrée de vulnérabilité WPScan
• Entrée WPVulnDB
• Page officielle du plugin
• Identifiant CVE – CVE-2025-4094