CVE-2026-85984
miniOrange OTP Login, Verification and SMS Notifications <= 5.5.5 - 'mo_wp_login_intent' パラメータを介した未認証の認証バイパス
- 公開済み
- 2026/09/26
- 更新済み
- 2026/09/26
- CNA の割り当て
- Wordfence
- 観察された証拠
- 2026/11/04
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H低 · 今後 30 日間
- パーセンタイル
- 64.0%
- モデルの日付
- 2026/11/04
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
WordPress用のminiOrange OTP Login, Verification and SMS Notificationsプラグインは、バージョン5.5.5以前のすべてのバージョンにおいて、mo_wp_login_intentパラメータを介した認証バイパスの脆弱性があります。これは、mo_by_pass_login()関数のskip_pass_fallbackが有効な設定分岐においてパスワードインテントのガードが欠落していることに起因します。この分岐では、未認証かつ未検証のPOSTパラメータmo_wp_login_intentが値otpとともに送信されるたびに、管理者ロールへの所属のみを十分な認証とみなし、その結果mo_get_user()がwp_authenticate_username_password()をスキップし、ユーザー名の検索のみでWP_Userを解決してしまいます。これにより、未認証の攻撃者が、既知のユーザー名と空のパスワード、そしてmo_wp_login_intent=otpを送信するだけで、パスワードやOTPの検証を必要とせず、既存の任意の管理者アカウントとしてログインすることが可能になります。悪用には、サイト管理者が以下のプラグインオプションを同時に有効化していることが条件となります: WP Login OTP、Login with Only OTP、Allow Users to Login with Username and Password、Admin OTP Bypass。
ソース
CVE-2026-85984 の Python PoC: miniOrange OTP プラグイン（≤5.5.5）の未認証 WordPress 管理者認証バイパスをチェックおよび悪用し、バージョンスキャンとユーザー列挙を備えています。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。