Miniorange OTP Verification with Firebase (WordPress) – Passwortänderung ohne Berechtigung

Beschreibung

Das WordPress-Plugin Miniorange OTP Verification with Firebase ist bis einschliesslich Version 3.6.0 für eine unbefugte Änderung von Benutzerpasswörtern anfällig. Das Plugin gewährt benutzergesteuerten Zugriff auf Objekte und lässt die Prüfung des aktuellen Passworts aus, sodass die Autorisierung umgangen wird. Nicht authentifizierte Angreifer können dadurch Benutzerpasswörter ändern und möglicherweise Administratorkonten übernehmen. CVSS-Basiswert: 9.8 (Kritisch).

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Erlang/OTP

• Erlang/OTP SSH Server – Missing Authentication for Critical Function KEV CVE-2025-32433
• CodeChecker: Authentifizierungsumgehung ermöglicht Superuser-Zugriff auf die API CVE-2024-10081
• The Automation Web Platform – Notifications and OTP for WooCommerce Privilege Escalation Vulnerability CVE-2026-14281
• FreeIPA – Fehlende Authentifizierung bei self-managed OTP Token ACI CVE-2026-76578
• CVE-2026-20274 – Cisco IOS XR Software CVE-2026-20274
• CVE-2026-20279 – Cisco IOS XR Software Sicherheitslücke CVE-2026-20279