miniOrange OTP Verification Plugin: Rechteerweiterung und Authentifizierungsumgehung

Zusammenfassung

Das WordPress-Plugin miniOrange OTP Login, Verification and SMS Notifications (miniorange-otp-verification) in Versionen bis einschliesslich 5.5.7 enthält eine fehlerhafte Rechtevergabe. Gemäss dem öffentlichen Proof of Concept kann ein nicht authentifizierter Angreifer Konten übernehmen, einschliesslich Administratorkonten, wenn der Modus "Login with only OTP" aktiviert ist. Ein öffentlicher Proof of Concept existiert, und Patchstack stuft die Schwachstelle als hohe Priorität ein.

Betroffen

• miniOrange OTP Login, Verification and SMS Notifications (Slug miniorange-otp-verification): von n/a bis einschliesslich 5.5.7
• Patchstack erfasst zusätzlich eine separate nicht authentifizierte Authentifizierungsumgehung für Versionen bis einschliesslich 5.5.8 (datiert 15. Okt 2026)
• Voraussetzung: Der Modus "Login with only OTP" muss für den Proof of Concept aktiviert sein

Behoben in

• Version 5.5.8 wird vom PoC-Repository, von OpenCVE und von Patchstack als Korrektur für diese CVE genannt
• Patchstack führt 5.6.0 als neueste Version auf; das Changelog des Herstellers zu 5.5.8 erwähnt nur "Security updates for phone based login" und nennt diese CVE nicht
• Empfohlenes Ziel: 5.6.0 oder neuer, wegen der späteren Umgehung für Versionen bis 5.5.8

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround gefunden.
• Nicht aus einer Quelle, vorgängig zu testen: Den Modus "Login with only OTP" deaktivieren, falls er nicht benötigt wird.

Ausnutzung

• Öffentlicher Proof of Concept: ja (GitHub-Repository eines Forschers namens KevineCharles, beschreibt eine Kontoübernahme ohne Authentifizierung über eine Umleitung der OTP)
• Ausnutzung in freier Wildbahn: unbekannt, es wurden keine bestätigten Meldungen gefunden
• Widersprüchliche Angaben: VulDB gibt an, dass kein Exploit existiert, und nennt CWE-269 sowie einen CVSS-Wert von 7.3; die Daten von CNA und NVD verwenden CWE-266 und CVSS 9.8
• Patchstack erwartet Massenausnutzung; die SSVC-Bewertung zeigt exploitation: none und automatable: yes

Unsere Empfehlung

• Alle WordPress-Websites mit diesem Plugin erfassen und die Versionen festhalten.
• Auf Version 5.6.0 oder neuer aktualisieren; Versionen bis einschliesslich 5.5.8 als verwundbar behandeln.
• Prüfen, ob der Modus "Login with only OTP" aktiviert ist, und ihn deaktivieren, falls er nicht benötigt wird.
• Administratorkonten, letzte Anmeldungen und neu erstellte Benutzer prüfen, insbesondere da ein öffentlicher Proof of Concept existiert.
• Die Seiten des Herstellers und von Patchstack auf Aktualisierungen überwachen. Die NVD-Bewertung ist zurückgestellt und kann sich ändern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  KevineCharles/CVE-2026-106610-miniorange-otp-ato

Quellen der Recherche

• Patchstack advisory (CVE record reference) patchstack.com
• PoC repository (KevineCharles) github.com
• OpenCVE CVE-2026-106610 app.opencve.io
• NVD metadata via Vulners vulners.com
• WordPress.org plugin page (changelog) wordpress.org
• Patchstack plugin vulnerabilities list patchstack.com
• VulDB CVE-2026-106610 vuldb.com
• Related CVE-2026-103895 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:44.