CVE-2025-4094 – Plugin Digits WordPress < 8.4.6.1 - Bypass de Autenticação OTP

Autor: Saleh Tarawneh
ID CVE: CVE-2025-4094
Gravidade: Crítica (CVSS 9.8)
Status: Corrigido na versão 8.4.6.1

Descrição da Vulnerabilidade

O plugin Digits WordPress anterior à versão 8.4.6.1 é vulnerável a ataques de força bruta OTP devido à falta de limitação de taxa. Isso permite que atacantes não autenticados contornem a autenticação baseada em OTP por SMS e redefinam senhas.

• CWE-287: Autenticação Imprópria
• OWASP A2: Autenticação Quebrada

Prova de Conceito

Opção 1: Script Python (Automatizado)

Edite os placeholders dentro de digits_otp_bypass_cve2025-4094.py:

• digits_phone
• instance_id
• digits_form
• Referer / redirect_page
• Quaisquer outros valores necessários da requisição interceptada

Então execute:

python3 digits_otp_bypass_cve2025-4094.py

Opção 2: Burp Suite Pro (Força Bruta Manual)

Você também pode realizar o ataque usando Burp Suite Pro e Intruder:

1. Intercepte a requisição de verificação OTP usando Burp Proxy durante o login ou fluxo de "Esqueci a Senha".
2. Clique com o botão direito na requisição → Enviar para Intruder
3. Defina a posição do payload no parâmetro sms_otp.
4. Carregue uma lista de payloads de 000000 a 999999:
5. Inicie o ataque e monitore uma resposta de sucesso verificando:
   • "success":true no corpo
   • Mudança no comprimento da resposta

Este método é útil para inspeção visual e ajuste fino dos limiares de detecção dentro do Burp.

Script Aprimorado

• PoC Aprimorado Por POCPioneer

Referências

• Entrada de Vulnerabilidade WPScan
• Entrada WPVulnDB
• Página Oficial do Plugin
• ID CVE – CVE-2025-4094