CVE-2026-85984

Resumo

O plugin miniOrange OTP Login, Verification and SMS Notifications para WordPress é vulnerável a Bypass de Autenticação através do parâmetro mo_wp_login_intent em todas as versões até, e incluindo, a 5.5.5. Isto deve-se à ausência de uma verificação de intenção de palavra-passe no ramo de configuração com skip_pass_fallback ativado da função mo_by_pass_login(), que considera a pertença ao papel de administrador, por si só, como autenticação suficiente sempre que o parâmetro POST não autenticado e não verificado mo_wp_login_intent é submetido com o valor otp, fazendo com que mo_get_user() ignore wp_authenticate_username_password() e resolva um WP_User apenas a partir de uma pesquisa por nome de utilizador. Isto torna possível que atacantes não autenticados iniciem sessão como qualquer conta de administrador existente, fornecendo apenas um nome de utilizador conhecido e uma palavra-passe vazia juntamente com mo_wp_login_intent=otp, sem necessidade de verificação de palavra-passe ou OTP. A exploração está condicionada a que um administrador do site tenha ativado simultaneamente as seguintes opções do plugin: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password e Admin OTP Bypass.

Fontes

• CVE-2026-85984PoC

  PoC em Python para CVE-2026-85984: verifica e explora o bypass de autenticação de administrador do WordPress não autenticado no plugin miniOrange OTP (≤5.5.5), com verificação de versão e enumeração de usuários.