CVE-2026-85984

总结

WordPress 的 miniOrange OTP Login, Verification and SMS Notifications 插件在所有版本（包括 5.5.5）中，通过 mo_wp_login_intent 参数存在身份验证绕过漏洞。该漏洞源于 mo_by_pass_login() 函数中启用 skip_pass_fallback 的配置分支缺少密码意图校验，当未经身份验证、未经核实的 POST 参数 mo_wp_login_intent 以值 otp 提交时，仅凭管理员角色成员身份即被视为通过身份验证，导致 mo_get_user() 跳过 wp_authenticate_username_password()，仅通过用户名查询即解析出 WP_User 对象。这使得未经身份验证的攻击者只需提供已知用户名、空密码以及 mo_wp_login_intent=otp，即可登录任意现有管理员账户，无需任何密码或 OTP 验证。该漏洞的利用前提是站点管理员同时启用了以下插件选项：WP Login OTP、Login with Only OTP、Allow Users to Login with Username and Password 以及 Admin OTP Bypass。

来源

• CVE-2026-85984PoC

  针对 CVE-2026-85984 的 Python PoC：检查并利用 miniOrange OTP 插件（≤5.5.5）中未认证的 WordPress 管理员身份验证绕过漏洞，并支持版本扫描和用户枚举。