→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-111949 · miniorange-2fa
آسیب‌پذیری دور زدن احراز هویت در افزونه miniOrange 2FA
افزونه miniOrange 2FA وردپرس در نسخه‌های ۶.۳.۱ و پایین‌تر، فرآیند ثبت کلید دسترسی (Passkey) را به درستی محدود نمی‌کند. این ضعف امنیتی به مهاجمی که رمز عبور کاربر را در اختیار دارد اجازه می‌دهد تا کلید دسترسی خود را روی حسابی که از قبل دارای Passkey بوده ثبت کرده و مرحله دوم احراز هویت را دور بزند. تاکنون پچ رسمی برای این آسیب‌پذیری منتشر نشده است و توصیه می‌شود موقتاً افزونه را غیرفعال کرده یا از قوانین فایروال برای محافظت استفاده کنید.
نسخه‌های تحت تأثیر
<= 6.3.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته miniorange-2fa را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.