CVE-2026-12215 in OTP Login & Register Woocommerce Plugin
Riassunto
di VulDB • 11/09/2026
Il plugin WordPress "OTP Login & Register" per WooCommerce è vulnerabile a Authentication Bypass tramite OTP Brute Force in tutte le versioni fino alla 2.7.2, inclusa. La vulnerabilità esiste perché il contatore dei tentativi di rate-limiting dell'OTP nella funzione `process_otp_form` è basato esclusivamente sul campo `ip_address` del cookie `xoo_ml_user_ip_data`, controllato dall’attaccante, consentendo reset illimitati del conteggio semplicemente ruotando il cookie. Inoltre, l'OTP viene generato utilizzando la funzione non crittografica di PHP `rand()` su uno spazio dei valori predefinito limitato a sole 9.000 possibilità (da 1000 a 9999). Entrambi gli endpoint per l’emissione dell’OTP (`xoo_ml_login_with_otp`) e la sua verifica (`xoo_ml_otp_form_submit`) sono registrati come azioni `wp_ajax_nopriv` non autenticate, senza controlli di nonce o capacità. Ciò consente ad attaccanti non autenticati di effettuare un brute-force sull'OTP per qualsiasi account registrato ed ottenere una sessione completa di autenticazione WordPress — inclusi gli account amministratore — tramite la funzione `wp_set_auth_cookie()` in `login_user_with_otp()`. L’exploitation richiede che l’attaccante conosca il numero di telefono registrato dell’utente target, utilizzato per attivare l'emissione dell'OTP attraverso l'endpoint non autenticato `xoo_ml_login_with_otp`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.