miniOrange OTP-Plugin für WordPress: Authentifizierungsumgehung über Delay OTP

Zusammenfassung

Das Plugin miniOrange OTP Login, Verification and SMS Notifications für WordPress bis einschliesslich 5.5.8 enthält eine Authentifizierungsumgehung. Wenn eine Website den Login nur mit OTP und zusätzlich Delay OTP Verification verwendet, kann ein nicht authentifizierter Angreifer, der einen Benutzernamen kennt, sich ohne gültiges Passwort als dieser Benutzer anmelden, auch als Administrator. Der Angriff funktioniert nur, solange sich das Zielkonto im Delay-OTP-Intervall befindet.

Betroffen

• miniOrange OTP Login, Verification and SMS Notifications Plugin für WordPress, alle Versionen bis einschliesslich 5.5.8
• Ausnutzung erfordert Login nur mit OTP (wp_login_skip_password=1, wp_login_skip_password_fallback=0) und Delay OTP Verification (wp_login_delay_otp=1)

Behoben in

Unbekannt. Es wurde keine bestätigte korrigierte Version gefunden. Version 5.5.8 ist keine Korrektur. Vor einem Update das Wordfence-Advisory und den Changelog auf WordPress.org prüfen.

Umgehung

• Delay OTP Verification deaktivieren, wenn sie nicht zwingend benötigt wird. Im Changelog von 5.5.8 heisst diese Einstellung "Skip OTP on repeat logins".
• Login nur mit OTP deaktivieren, wenn er nicht benötigt wird. Damit entfällt die Voraussetzung.

Ausnutzung

• Ausnutzung in freier Wildbahn: nicht bestätigt. Ein GitHub-Tracker führt die CVE nicht im CISA-KEV-Katalog. Ein VulnCheck-KEV-Eintrag findet sich nur in Aggregator-Spiegeln und konnte nicht verifiziert werden.
• Öffentlicher Proof of Concept: keiner gefunden. Ein öffentlicher PoC zielt auf die verwandte frühere CVE-2026-85984.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Inventar der WordPress-Websites mit diesem Plugin erstellen und die installierte Version erfassen.
• Prüfen, ob Login nur mit OTP oder Delay OTP Verification aktiviert ist. Falls ja, Delay OTP sofort deaktivieren und zusätzlich Login nur mit OTP in Betracht ziehen.
• Auf eine korrigierte Version aktualisieren, sobald das Wordfence-Advisory dies bestätigt.
• Zugriff auf wp-login.php wo möglich einschränken.
• Logs auf Administrator-Logins ohne Passwortabfrage prüfen und auf unerwartete Admin-Sitzungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• Wordfence advisory mirror (threatint) cve.threatint.com
• VulDB CVE-2026-103895 vuldb.com
• WordPress.org plugin page wordpress.org
• Patchstack vulnerability list patchstack.com
• Trac changeset 3733803 plugins.trac.wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:56.