pervinzahidli/cve-2026-77771Advisory per CVE-2026-77771, un bypass del 2FA nel plugin WordPress miniOrange tramite blocco OTP con ambito di sessione, con analisi dell'impatto e indicazioni per la remediation.
Un bypass dell'autenticazione nel plugin miniOrange Two-Factor Authentication per WordPress consente a un attaccante che possiede già la password valida di una vittima di forzare il secondo fattore senza limiti, annullando completamente il 2FA.
| CVE ID | CVE-2026-77771 |
| Tipo di vulnerabilità | Bypass dell'autenticazione (AUTHBYPASS) |
| CWE | CWE-287: Autenticazione impropria |
| OWASP Top 10 (2017) | A2: Autenticazione e gestione delle sessioni compromesse |
| Punteggio CVSS 3.1 | 7.5 (Alto) |
| Vettore CVSS 3.1 | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Ricercatore | Pervin Zahidli (pervinzahidli) |
| Stato | Corretto dal fornitore |
| Prodotto | Versioni interessate | Corretto in |
|---|---|---|
| miniOrange Two-Factor Authentication — Free | < 6.3.1 | 6.3.1 |
| miniOrange Two-Factor Authentication — Pro | < 19.3 | 19.3 |
Il plugin impone un limite ai tentativi falliti del secondo fattore, ma il contatore che supporta questo limite non è circoscritto all'account sotto attacco. È invece associato a un identificatore fornito dal client e modificabile liberamente a ogni richiesta.
Poiché l'attaccante controlla la chiave, ogni richiesta può essere indirizzata a un nuovo bucket di conteggio. Il blocco pertanto non si accumula mai contro l'utente preso di mira, e il numero di tentativi di indovinare la password monouso da parte dell'attaccante è di fatto illimitato.
Un secondo endpoint di convalida nello stesso plugin non applica alcun limite ai tentativi, quindi il secondo fattore può essere attaccato anche attraverso quel percorso senza manipolare l'identificatore.
Il risultato pratico è che l'OTP — un breve segreto numerico con un piccolo spazio delle chiavi — può essere enumerato entro la sua finestra di validità, e il secondo fattore di autenticazione non fornisce alcuna protezione significativa.
PR:L e AC:H nel vettore CVSS.Un attaccante in possesso di credenziali trapelate, ottenute tramite phishing o riutilizzate può completare l'autenticazione come la vittima nonostante il 2FA sia abilitato. Quando la vittima è un amministratore, ciò comporta la compromissione totale dell'installazione WordPress — riservatezza, integrità e disponibilità sono tutte interessate.
Un proof of concept non viene intenzionalmente pubblicato qui. Il problema è corretto a monte; i dettagli sufficienti a riprodurlo sono disponibili al fornitore e a WPScan.
Schema di riproduzione ad alto livello:
wp-login.php con credenziali valide per un account che ha il secondo fattore del plugin abilitato.Aggiornare il plugin alla versione 6.3.1 (Free) o 19.3 (Pro) o successive.
Misure di difesa in profondità per gli operatori che non possono aggiornare immediatamente:
wp-login.php e agli endpoint di convalida AJAX/REST del plugin per IP, ove fattibile.Indicazioni per gli sviluppatori che implementano un secondo fattore:
| Data | Evento |
|---|---|
| 2026-09-08 | Pubblicato pubblicamente |
| 2026-09-08 | Aggiunto al WPScan Vulnerability Database |
| 2026-09-09 | Voce aggiornata l'ultima volta |
e1e57673-18cb-4157-9d58-547af7101b04Scoperto e segnalato da Pervin Zahidli — https://www.zahidlipervin.site/
Questo documento è pubblicato per scopi difensivi ed educativi. La vulnerabilità qui descritta è corretta a monte. Testarla su sistemi di cui non si è proprietari o per cui non si ha esplicita autorizzazione scritta a effettuare valutazioni è illegale.