miniOrange OTP Login, Verification and SMS Notifications 插件超危漏洞预警（CVE-2026-85984）

漏洞速览

• 漏洞编号：CVE-2026-85984
• 风险评分：9.8（严重）
• 首次披露：2026-09-26
• 最近更新：2026-09-26
• 软件类型：插件
• 软件标识：miniorange-otp-verification
• 受影响版本：<= 5.5.5
• 修复版本：5.5.6
• 是否已修复：是

漏洞详情

WordPress 的 miniOrange OTP 登录、验证和短信通知插件在最高至 5.5.5（含）版本中，存在通过 mo_wp_login_intent 参数进行身份验证绕过的漏洞。 该漏洞源于 mo_by_pass_login() 函数在启用 skip_pass_fallback 的配置分支中缺少密码意图检查，当未认证且未经校验的 POST 参数 mo_wp_login_intent 的值为 otp 时，函数仅凭管理员角色身份即视为已完成认证，导致 mo_get_user() 跳过 wp_authenticate_username_password()，仅依据用户名查询返回 WP_User 对象。

攻击者只需提供已知的管理员用户名和空密码，同时附加 mo_wp_login_intent=otp，即可无需密码或 OTP 验证即可以该管理员身份登录。 此漏洞的利用前提是站点管理员同时开启了以下插件选项：WP Login OTP、Login with Only OTP、Allow Users to Login with Username and Password 以及 Admin OTP Bypass。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass via 'mo_wp_login_intent' Parameter
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Supakiad S. (m3ez) – E-CQURITY (Thailand)

修复建议

1. 按官方建议执行修复：更新至 5.5.6 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录