CVE-2026-77770: miniOrange 2FA WordPress Plugin - Usuwanie opcji bez weryfikacji transakcji

Co wiadomo

Wtyczka miniOrange 2FA dla WordPress w wersjach przed 6.3.1 oraz 19.3 pozwala na usuwanie opcji witryny bez wymogu potwierdzenia transakcji. Atakujący może usunąć dowolne opcje, co może zablokować dostęp administratorów do panelu lub dezaktywować wtyczkę.

Wpływ biznesowy

Niezabezpieczone usuwanie opcji wtyczki miniOrange 2FA może prowadzić do utraty kontroli nad panelem administracyjnym WordPressa oraz dezaktywacji mechanizmów dwuskładnikowego uwierzytelniania. To zwiększa ryzyko nieautoryzowanego dostępu i obniża poziom bezpieczeństwa całej witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki miniOrange 2FA do wersji 6.3.1 lub nowszej, które zawierają poprawkę usuwającą tę lukę. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanych działań. Warto również zweryfikować konfigurację zabezpieczeń i rozważyć tymczasowe wyłączenie wtyczki. DataHouse wspiera weryfikację wersji oprogramowania oraz zarządzanie aktualizacjami w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference