CVE-2025-4094 – Plugin WordPress Digits < 8.4.6.1 - Bypass dell'autenticazione OTP

Autore: Saleh Tarawneh
ID CVE: CVE-2025-4094
Gravità: Critica (CVSS 9.8)
Stato: Corretto nella versione 8.4.6.1

Descrizione della vulnerabilità

Il plugin WordPress Digits precedente alla versione 8.4.6.1 è vulnerabile ad attacchi di forza bruta OTP a causa della mancanza di limitazione delle richieste. Ciò consente a attaccanti non autenticati di bypassare l'autenticazione basata su OTP SMS e reimpostare le password.

• CWE-287: Autenticazione impropria
• OWASP A2: Autenticazione interrotta

Proof of Concept

Opzione 1: Script Python (Automatizzato)

Modifica i segnaposto all'interno di digits_otp_bypass_cve2025-4094.py:

• digits_phone
• instance_id
• digits_form
• Referer / redirect_page
• Qualsiasi altro valore richiesto dalla richiesta intercettata

Quindi esegui:

python3 digits_otp_bypass_cve2025-4094.py

Opzione 2: Burp Suite Pro (Forza bruta manuale)

Puoi anche eseguire l'attacco usando Burp Suite Pro e Intruder:

1. Intercetta la richiesta di verifica OTP usando Burp Proxy durante il login o il flusso "Password dimenticata".
2. Clicca con il tasto destro sulla richiesta → Invia a Intruder
3. Imposta la posizione del payload sul parametro sms_otp.
4. Carica una lista di payload da 000000 a 999999:
5. Avvia l'attacco e monitora una risposta di successo controllando:
   • "success":true nel corpo
   • Variazione nella lunghezza della risposta

Questo metodo è utile per l'ispezione visiva e per regolare le soglie di rilevamento all'interno di Burp.

Script migliorato

• PoC migliorato di POCPioneer

Riferimenti

• Voce WPScan sulla vulnerabilità
• Voce WPVulnDB
• Pagina ufficiale del plugin
• ID CVE – CVE-2025-4094