CVE-2026-85984

Nome do Software Vulnerável e Versões Afetadas miniOrange OTP Login, Verification and SMS Notifications versões anteriores a 5.5.6

Description Existe uma falha de bypass de autenticação ao utilizar o parâmetro mo wp login intent. O problema ocorre na função mo by pass login(), especificamente no ramo de configuração skip pass fallback-enabled, onde a ausência de uma guarda de intenção de senha permite que apenas a associação à função de administrador seja tratada como autenticação suficiente. Quando um usuário não autenticado envia o parâmetro mo wp login intent com o valor otp, a função mo get user() ignora o processo wp authenticate username password() e resolve um usuário baseando-se apenas na busca pelo nome de usuário. Isso permite que um invasor acesse qualquer conta de administrador fornecendo apenas um nome de usuário conhecido e uma senha vazia. Este comportamento é condicionado à ativação, pelo administrador do site, das opções WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password e Admin OTP Bypass.

Recommendations Atualize o plugin para uma versão posterior a 5.5.5. Como medida de mitigação temporária, desative a opção Admin OTP Bypass ou a configuração Login with Only OTP para evitar o bypass de autenticação.