Критическая уязвимость обхода аутентификации в miniOrange OTP Login для WordPress (CVE-2026-85984)
В плагине miniOrange OTP Login, Verification and SMS Notifications для WordPress обнаружена уязвимость обхода аутентификации с оценкой CVSS 9.8. Неаутентифицированный злоумышленник может войти в любую существующую учётную запись администратора, зная только её имя пользователя. Уязвимость затрагивает все версии плагина вплоть до 5.5.5 включительно.
Подробности
Уязвимость получила идентификатор CVE-2026-85984 и оценку CVSS 9.8 (CRITICAL). Под уязвимость попадают все версии плагина miniOrange OTP Login, Verification and SMS Notifications вплоть до 5.5.5 включительно. Причина проблемы кроется в функции mo_by_pass_login(): в ветке конфигурации с включённым параметром skip_pass_fallback отсутствует проверка password-intent («намерения ввести пароль»). Из-за этого наличие роли администратора само по себе трактуется как достаточное основание для аутентификации — как только поступает неаутентифицированный и непроверенный POST-параметр mo_wp_login_intent со значением otp. В результате функция mo_get_user() пропускает вызов wp_authenticate_username_password() и определяет объект WP_User исключительно по имени пользователя. На практике это означает, что неаутентифицированный атакующий может войти в любую существующую учётную запись администратора, отправив только известное имя пользователя и пустой пароль вместе с параметром mo_wp_login_intent=otp. Ни пароль, ни код OTP при этом не требуются. Важно отметить, что эксплуатация возможна при условии, что администратор сайта одновременно активировал следующие опции плагина: WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password и Admin OTP Bypass.Что делать
Основная рекомендация — как можно скорее обновить плагин miniOrange OTP Login, Verification and SMS Notifications до версии, в которой устранена уязвимость (выше 5.5.5). Перед обновлением обязательно создайте резервную копию сайта и базы данных. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные меры: — отключить опцию Admin OTP Bypass и/или Login with Only OTP, если они не являются критически необходимыми; — ограничить доступ к странице входа wp-login.php по IP-адресам или средствами WAF; — включить двухфакторную аутентификацию на уровне веб-сервера или отдельного решения; — усилить мониторинг журналов входа на предмет подозрительных POST-запросов с параметром mo_wp_login_intent. Также рекомендуется провести аудит учётных записей администраторов: проверить наличие неизвестных пользователей с повышенными правами и сменить пароли всех административных аккаунтов. Итог: CVE-2026-85984 — уязвимость максимального уровня критичности, позволяющая захватить контроль над сайтом на WordPress без каких-либо учётных данных. При наличии условий эксплуатации (определённая комбинация настроек плагина) риск компрометации административной панели extremely высок. Обновление плагина или отключение уязвимых опций следует выполнить незамедлительно.Источник: CVE Project (cvelistV5)