CVE-2026-77771 — miniOrange 2FA (Free & Pro): セッションスコープのOTPロックアウトによる2FAバイパス

WordPress用のminiOrange Two-Factor Authenticationプラグインにおける認証バイパスにより、被害者の有効なパスワードをすでに入手している攻撃者が、第2要素を無制限にブルートフォースでき、2FAを完全に無効化できる。

---

概要

影響を受けるソフトウェア

説明

このプラグインは第2要素の失敗試行回数に制限を設けているが、この制限を支えるカウンターは攻撃対象のアカウントにスコープされていない。代わりに、クライアントから供給され、リクエストごとに自由に変更できる識別子をキーとしている。

攻撃者がこのキーを制御できるため、すべてのリクエストを新規のカウンターバケットに振り分けることが可能である。したがって、ロックアウトが標的ユーザーに対して蓄積されることはなく、攻撃者が試行できるワンタイムパスコードの推測回数は事実上無制限となる。

同じプラグイン内の2つ目の検証エンドポイントは試行制限を一切行っていないため、識別子を操作しなくてもその経路から第2要素を攻撃できる。

実際の結果として、OTP — 鍵空間の小さい短い数値の秘密 — をその有効期間内に列挙でき、第2認証要素は意味のある保護を提供しない。

根本原因

• レート制限 / ロックアウトの状態が、認証対象のサーバー側ユーザー識別情報 (ユーザーIDまたはログイン) ではなく、クライアント制御の入力をキーとしている。
• OTP検証エントリポイントの1つに試行制限が完全に欠落している。

前提条件

• 攻撃者が対象アカウントの有効な一次認証情報 (ユーザー名とパスワード) をすでに所持している必要がある — したがってCVSSベクターでは PR:L および AC:H となる。
• 対象アカウントでプラグインの第2要素が有効になっている必要がある。ユーザー操作は不要。

影響

漏洩、フィッシング、または使い回しによって認証情報を入手した攻撃者は、2FAが有効であっても被害者として認証を完了できる。被害者が管理者の場合、WordPressインストール全体が完全に侵害され、機密性、完全性、可用性のすべてが影響を受ける。

概念実証

概念実証はここでは意図的に公開していない。本問題は上流で修正済みであり、再現に十分な詳細はベンダーおよびWPScanが入手可能である。

高レベルの再現手順の概要:

1. プラグインの第2要素が有効なアカウントの有効な認証情報で wp-login.php に認証する。
2. 第2要素のチャレンジと、ワンタイムパスコードを送信するリクエストを観察する。
3. ロックアウトカウンターがキーとしているクライアント供給の値を特定する。
4. その値を変化させながら誤ったパスコードを送信し、失敗試行カウンターが対象アカウントの設定しきい値に決して達しないことに注目する。
5. 2つ目の検証エンドポイントに対しても繰り返し、そこではしきい値が一切適用されていないことに注目する。

修復

プラグインを更新して、バージョン 6.3.1 (Free) または 19.3 (Pro) 以降にしてください。

すぐに更新できない運用者向けの多層防御策:

• WebサーバーまたはWAF層で、ログインおよびOTP検証エンドポイントの前段に、送信元IPと認証アカウントをキーとしたレート制限を適用する。
• 可能であれば、wp-login.php およびプラグインのAJAX/REST検証エンドポイントへのアクセスをIPで制限する。
• 単一アカウントに対する第2要素の失敗試行の繰り返しを監視し、アラートを発する。
• サードパーティの侵害で露出した可能性のある特権アカウントの認証情報をローテーションする。

第2要素を実装する開発者向けのガイダンス:

• すべてのロックアウトおよびスロットリングの状態を、クライアントが設定できる値ではなく、サーバー由来の識別情報をキーとすること。
• 要素を検証できるすべてのコードパスに同じスロットリングポリシーを適用すること。
• 少数の固定回数の失敗後にOTPを無効化し、ログインフローの再開を要求すること。

タイムライン

参考資料

• WPScanアドバイザリ: https://wpscan.com/vulnerability/e1e57673-18cb-4157-9d58-547af7101b04/
• WPScanプラグインページ: https://wpscan.com/plugin/miniorange-2-factor-authentication/
• CVEレコード: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-77771
• WPVDB ID: e1e57673-18cb-4157-9d58-547af7101b04

クレジット

Pervin Zahidli により発見および報告 — https://www.zahidlipervin.site/

免責事項

本文書は防御および教育目的で公開されている。ここに記載された脆弱性は上流で修正済みである。自身が所有していない、または評価のための明示的な書面による許可を持たないシステムに対してこれをテストすることは違法である。