CVE-2026-16035 in 2FA Plugin
Zusammenfassung
von VulDB • 04.08.2026
Das WordPress-Plugin miniOrange 2FA vor Version 6.2.7 schränkt nicht ein, wer das Senden der Einmal-Passwörter (OTP) für die Zwei-Faktor-Konfiguration auslösen kann, und koppelt den OTP-Empfänger auch nicht an die eigene Adresse des registrierenden Benutzers. Dies ermöglicht es einem Benutzer mit geringen Berechtigungen, E-Mails mit Einmalpasswörtern an beliebige Empfänger zu senden und das abgerechnete Kontingent für OTPs der Website aufzubrauchen, wodurch legitime Nutzer daran gehindert werden, ihre Zwei-Faktor-Codes zu erhalten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.