CVE-2025-4094 – Плагин WordPress Digits < 8.4.6.1 - Обход OTP-аутентификации

Автор: Saleh Tarawneh
CVE ID: CVE-2025-4094
Критичность: Критический (CVSS 9.8)
Статус: Исправлено в версии 8.4.6.1

Описание уязвимости

Плагин Digits для WordPress версии ниже 8.4.6.1 уязвим к атакам перебора OTP из-за отсутствия ограничения частоты запросов. Это позволяет неаутентифицированным злоумышленникам обойти аутентификацию на основе SMS-OTP и сбросить пароли.

• CWE-287: Недостаточная аутентификация
• OWASP A2: Нарушенная аутентификация

Доказательство концепции

Вариант 1: Python-скрипт (автоматизированный)

Отредактируйте заполнители внутри digits_otp_bypass_cve2025-4094.py:

• digits_phone
• instance_id
• digits_form
• Referer / redirect_page
• Любые другие необходимые значения из перехваченного запроса

Затем выполните:

python3 digits_otp_bypass_cve2025-4094.py

Вариант 2: Burp Suite Pro (ручной перебор)

Вы также можете выполнить атаку с помощью Burp Suite Pro и Intruder:

1. Перехватите запрос проверки OTP с помощью Burp Proxy во время входа или процедуры «Забыли пароль».
2. Щёлкните правой кнопкой мыши по запросу → Отправить в Intruder
3. Установите позицию полезной нагрузки на параметр sms_otp.
4. Загрузите список полезных нагрузок от 000000 до 999999:
5. Запустите атаку и отслеживайте успешный ответ, проверяя:
   • "success":true в теле ответа
   • Изменение длины ответа

Этот метод полезен для визуальной проверки и точной настройки порогов обнаружения в Burp.

Улучшенный скрипт

• Улучшенное PoC от POCPioneer

Ссылки

• Запись уязвимости в WPScan
• Запись в WPVulnDB
• Официальная страница плагина
• Идентификатор CVE – CVE-2025-4094