یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-85984 در افزونه miniOrange OTP Login, Verification and SMS Notifications برای سیستم مدیریت محتوای وردپرس کشف شده است. این نقص امنیتی در تمامی نسخه‌ها تا و شامل نسخه 5.5.5 وجود دارد و به مهاجمان اجازه می‌دهد بدون داشتن اعتبارنامه معتبر، وارد سیستم شوند.
جزئیات فنی آسیب‌پذیری
این مشکل ناشی از یک نقص در تابع mo_by_pass_login() است. در شاخه پیکربندی skip_pass_fallback-enabled، یک مکانیزم حفاظتی (Guard) برای بررسی password-intent وجود ندارد. در نتیجه، زمانی که پارامتر mo_wp_login_intent از طریق یک درخواست POST ارسال شود، سیستم تنها داشتن نقش مدیر (Administrator) را برای احراز هویت کافی می‌داند و اجازه دسترسی را صادر می‌کند، حتی اگر کاربر احراز هویت نشده یا تایید نشده باشد.
تاثیرات امنیتی
- دور زدن احراز هویت (Authentication Bypass): مهاجم می‌تواند با ارسال پارامترهای خاص، دسترسی‌های مدیریتی را به دست آورد.
- دسترسی کامل به سایت: با دستیابی به نقش Administrator، مهاجم کنترل کامل بر روی وب‌سایت وردپرسی را پیدا می‌کند که می‌تواند منجر به نشت داده‌ها یا تغییر در محتوای سایت شود.
به مدیران سیستم‌ها و متخصصان امنیت توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به آخرین نسخه به‌روزرسانی کنند تا از وقوع حملات احتمالی جلوگیری شود.
