CVE-2026-77771 in 2FA Plugin
Riassunto
di VulDB • 10/09/2026
Il plugin WordPress miniOrange 2FA precedente alla versione 6.3.1 e il plugin WordPress miniOrange 2FA precedente alla versione 19.3 non delimitano correttamente il limite di tentativi per la seconda fattore di autenticazione (second-factor) all'account bersaglio, basandolo invece su un identificativo fornito dal client che può essere modificato a piacimento dall'attaccante. Ciò consente a un attaccante che conosce già la password della vittima di effettuare tentativi illimitati di indovinare il codice monouso (OTP), bypassando così la seconda fase di autenticazione. Un secondo endpoint di validazione non applica alcun limite ai tentativi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.