CVE-2026-103895

Wordpress-pluginen miniOrange OTP Login, Verification and SMS Notifications er sårbar over for Authentication Bypass i versioner op til og med 5.5.8 via funktionen `mo_by_pass_login()`. Dette skyldes, at `mo_delay_otp_process()` kort-slutter authentificeringsflowen før password-validering eller administrator-intent gate (tilføjet i 5.5.6) kan køre, kombineret med at Delay OTP grace-flaget (`mov_last_verified_dttm`) lagres som en `user_meta`-række med nøgle udelukkende efter bruger-ID uden binding til den oprindelige session, cookie, IP-adresse eller enhed. Dette gør det muligt for uautentificerede angribere at godkendes som enhver Wordpress-bruger — inklusive administratorer — ved alene at indsende et kendt brugernavn med parameteren `mo_wp_login_intent=otp` og en hvilken som helst ikke-tom adgangskode, hvorved de arver en legitim brugers åbne Delay OTP grace window uden nogensinde at levere korrekte legitimationsoplysninger. Udnyttelsen kræver, at webstedet har OTP-kun login (`wp_login_skip_password=1`, `wp_login_skip_password_fallback=0`) og Delay OTP Verification (`wp_login_delay_otp=1`) aktiveret, og målkontoen skal i øjeblikket være inden for sit konfigurerede Delay OTP-interval.

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD