WordPress-Plugin miniOrange OTP Login: Authentifizierungsumgehung bis zur Admin-Übernahme

Beschreibung

Das WordPress-Plugin miniOrange OTP Login, Verification and SMS Notifications erlaubt eine Umgehung der Authentifizierung, die bis zur Übernahme des Administratorkontos führen kann. Betroffen sind alle Versionen bis einschliesslich der in der Meldung genannten Fassung. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Prüfen Sie, ob das Plugin in Ihren WordPress-Installationen eingesetzt wird.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in WordPress (Patchstack)

• WebPros cPanel & WHM / WP2 – Fehlende Authentifizierung für kritische Funktion KEV CVE-2026-41940
• WordPress Social Warfare Plugin – Cross-Site Scripting (XSS) KEV CVE-2019-9978
• WordPress Snap Creek Duplicator Plugin – Datei-Download KEV CVE-2020-11738
• WordPress File Manager Plugin – Remote Code Execution KEV CVE-2020-25213
• WordPress & WooCommerce Scraper Plugin – Unauthenticated Arbitrary File Upload CVE-2025-69129
• WordPress-Plugin ACPT (Pro) – Custom Post Types: Code Injection CVE-2026-25470