Miniorange OTP Verification with Firebase (WordPress) – Passwortänderung ohne Berechtigung

Beschreibung

Das WordPress-Plugin Miniorange OTP Verification with Firebase ist bis einschliesslich Version 3.6.0 für eine unbefugte Änderung von Benutzerpasswörtern anfällig. Das Plugin gewährt benutzergesteuerten Zugriff auf Objekte und lässt die Prüfung des aktuellen Passworts aus, sodass die Autorisierung umgangen wird. Nicht authentifizierte Angreifer können dadurch Benutzerpasswörter ändern und möglicherweise Administratorkonten übernehmen. CVSS-Basiswert: 9.8 (Kritisch).

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Erlang/OTP

• Erlang/OTP SSH Server – Missing Authentication for Critical Function KEV CVE-2025-32433
• CodeChecker: Authentifizierungsumgehung ermöglicht Superuser-Zugriff auf die API CVE-2024-10081
• WordPress-Plugin für WooCommerce-Benachrichtigungen und OTP – Authentifizierungsumgehung CVE-2026-77264
• CVE-2026-20272 – Cisco IOS XE Software CVE-2026-20272
• CVE-2026-20303 – Cisco Catalyst SD-WAN Sicherheitslücke CVE-2026-20303
• Cisco Catalyst SD-WAN – Sicherheitslücke CVE-2026-20304