CVE-2026-85984 — miniOrange OTP Login (認証バイパス)

CVE-2026-85984 の Python 3 PoC — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5。

説明 (PoCbit / GitHub)

CVE-2026-85984 — POST パラメータ mo_wp_login_intent=otp と空のパスワードを組み合わせることで、未認証の認証バイパス (CWE-287) が発生します。mo_by_pass_login() の skip_pass_fallback 分岐において、プラグインは wp_authenticate_username_password() をスキップし、ユーザー名のみでユーザーを解決し、Admin OTP Bypass オプションが有効な場合に管理者ロールを十分条件として扱います。

攻撃: wp-login.php に log=<admin_user>、pwd= (空)、mo_wp_login_intent=otp を指定。

条件 (すべてサイト管理者によって有効化されている必要があります):

1. WP Login OTP
2. Login with Only OTP
3. Allow Users to Login with Username and Password
4. Admin OTP Bypass

CVSS 3.1: 9.8 Critical (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)。修正: 5.5.6+ (Wordfence CNA、発見者 Supakiad S. / m3ez)。

PoC ページ: https://pocbit.org/pocs/cve-2026-85984

PoCbit

カタログ: https://pocbit.org/pocs/

プラグインスラッグ	miniorange-otp-verification
影響を受けるバージョン	≤ 5.5.5
修正済み	5.5.6+
ベクター	wp-login.php + mo_wp_login_intent=otp
影響	管理者セッション（サイト全体の侵害）

PoC にはカラー化された CLI バナー、プラグイン/バージョンスキャン、オプションのユーザー列挙 (REST/author)、--mode exploit によるバイパス試行、pocbit / pocbit_catalog / pocbit_page を含む一括 JSONL が含まれます。

使用方法

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color

FOFA / hunt

body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"

GitHub About (EN)

CVE-2026-85984 PoC: WordPress miniOrange OTP ≤5.5.5 の未認証管理者バイパス (mo_wp_login_intent=otp + 空のパスワード経由)。チェック/エクスプロイトモード、カラー CLI。PoCbit

概要 (TR)

CVE-2026-85984: miniOrange OTP プラグインにおいて、空のパスワード + mo_wp_login_intent=otp により 管理者セッション が成立（誤った OTP 設定が必要）。5.5.6 で修正。PoC: カラフルな UI + エクスプロイトモード。

法的注意

許可されたテストのみ。所有していない、またはテストの許可がないシステムでは使用しないでください。