→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-85984 · miniorange-otp-verification

دور زدن احراز هویت (Authentication Bypass) در افزونه miniOrange OTP Verification

بحرانی plugin CVSS 9.8

افزونه miniOrange OTP Verification در نسخه‌های تا ۵.۵.۵ به دلیل نبود گارد بررسی intent رمز عبور در تابع mo_by_pass_login() در برابر دور زدن احراز هویت آسیب‌پذیر است و مهاجم احراز هویت‌نشده می‌تواند با ارسال پارامتر POST تأییدنشده mo_wp_login_intent با مقدار otp به عنوان هر حساب مدیر موجود وارد شود. این نقص باعث نادیده گرفتن احراز هویت رمز عبور و اعطای دسترسی کامل بر اساس صرف نام کاربری و نقش مدیر می‌گردد که منجر به کنترل کامل وب‌سایت می‌شود. با توجه به وجود وصله امنیتی، به‌روزرسانی فوری افزونه به نسخه امن ضروری است.

نسخه‌های تحت تأثیر

<= 5.5.5

راهنمای اقدام و رفع مشکل (Remediation)

۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
۲. به‌روزرسانی سریع: افزونه یا هسته miniorange-otp-verification را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.

دور زدن احراز هویت (Authentication Bypass) در افزونه miniOrange OTP Verification

نسخه‌های تحت تأثیر

راهنمای اقدام و رفع مشکل (Remediation)

مراجع رسمی و مستندات

سایر آسیب‌پذیری‌های امنیتی مرتبط و اخیر