murrez/cve-2026-85984PoC in Python per CVE-2026-85984: verifica e sfrutta il bypass di autenticazione admin non autenticato del plugin miniOrange OTP (≤5.5.5) per WordPress, con scansione della versione ed enumerazione degli utenti.
PoC in Python 3 per CVE-2026-85984 — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5.
CVE-2026-85984 — Bypass dell'autenticazione non autenticato (CWE-287) tramite il parametro POST mo_wp_login_intent=otp con password vuota. Nel ramo skip_pass_fallback di mo_by_pass_login(), il plugin salta wp_authenticate_username_password(), risolve l'utente solo tramite username e considera sufficiente il ruolo di amministratore quando le opzioni Admin OTP Bypass sono abilitate.
Attacco: wp-login.php con log=<admin_user>, pwd= (vuota), mo_wp_login_intent=otp.
Condizioni (tutte devono essere abilitate dall'amministratore del sito):
CVSS 3.1: 9.8 Critico (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Correzione: 5.5.6+ (Wordfence CNA, scopritore Supakiad S. / m3ez).
Pagina PoC: https://pocbit.org/pocs/cve-2026-85984
Catalogo: https://pocbit.org/pocs/
| Plugin slug | miniorange-otp-verification |
| Affected | ≤ 5.5.5 |
| Fixed | 5.5.6+ |
| Vector | wp-login.php + mo_wp_login_intent=otp |
| Impact | Administrator session (full site compromise) |
La PoC include un banner CLI colorato, scansione di plugin/versione, enumerazione utenti opzionale (REST/author), tentativo di bypass con --mode exploit, JSONL massivo con pocbit / pocbit_catalog / pocbit_page.
pip install -r requirements.txt
python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color
body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"
PoC di CVE-2026-85984: miniOrange OTP per WordPress ≤5.5.5 bypass admin non autenticato tramite mo_wp_login_intent=otp + password vuota. Modalità check/exploit, CLI colorata. PoCbit
CVE-2026-85984: nel plugin miniOrange OTP, con password vuota + mo_wp_login_intent=otp si ottiene una sessione admin (sono necessarie impostazioni OTP errate). Patch 5.5.6. PoC: interfaccia colorata + modalità exploit.
Solo per test autorizzati. Non utilizzare su sistemi di cui non si è proprietari o per i quali non si dispone dell'autorizzazione ai test.