Критична уразливість обходу автентифікації в плагіні miniOrange OTP Login для WordPress

Що відомо

Плагін miniOrange OTP Login для WordPress має критичну уразливість обходу автентифікації через параметр mo_wp_login_intent, що дозволяє неавторизованим користувачам увійти під будь-яким адміністраторським обліковим записом без пароля чи OTP. Уразливість присутня у всіх версіях до 5.5.5 включно за умови активації певних опцій плагіна.

Бізнес-вплив

Ця уразливість може призвести до повного компрометації сайту WordPress, оскільки зловмисник може отримати права адміністратора без необхідності знати пароль або OTP. Це створює високий ризик несанкціонованого доступу, зміни контенту, встановлення шкідливого коду та інших атак, що можуть суттєво вплинути на бізнес-операції та репутацію.

Рекомендовані дії адміністратора

Адміністраторам слід негайно перевірити використання плагіна miniOrange OTP Login і оновити його до безпечної версії, якщо така доступна, або тимчасово відключити плагін. Рекомендується також переглянути налаштування плагіна, особливо опції WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password, та Admin OTP Bypass, щоб мінімізувати ризики. Важливо провести аудит логів доступу на предмет підозрілої активності та обмежити мережевий доступ до адміністративної панелі. DataHouse підтримує перевірку версій плагінів та допомагає у зниженні мережевої експозиції для підвищення безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference