Se ha divulgado una omisión de autenticación crítica en el plugin miniOrange OTP Login, Verification and SMS Notifications para WordPress, que afecta a todas las versiones hasta la 5.5.5 inclusive. Un atacante no autenticado que conozca el nombre de usuario de un administrador puede iniciar sesión sin contraseña y sin OTP simplemente enviando mo_wp_login_intent=otp en la solicitud. No se verifica ningún material de credencial. La entrada NVD para CVE-2026-85984 contiene el análisis técnico completo.

Lo que realmente salió mal desde el punto de vista de IAM es lo siguiente: la función mo_by_pass_login() del plugin toma un atajo cuando skip_pass_fallback está habilitado. Resuelve un objeto de usuario de WordPress a partir de una simple búsqueda por nombre de usuario, comprueba si ese usuario es administrador y, en caso afirmativo, omite wp_authenticate_username_password() por completo. El parámetro mo_wp_login_intent que activa esta rama se acepta desde una solicitud POST sin firma, sin vinculación de sesión y sin verificación alguna. Quien escribió esto creyó que "comprobación de rol de administrador" era equivalente a "autenticación". No lo es. El rol es un atributo de una sesión ya autenticada. Comprobarlo antes de la autenticación es circular y, en este caso, gravemente incorrecto.

Las condiciones para la explotación son específicas: un administrador del sitio debe haber habilitado simultáneamente WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password y Admin OTP Bypass. Es una configuración que parece haberse construido de forma incremental, opción por opción, sin que nadie se detuviera a razonar sobre el efecto combinado. Esto se repite constantemente en entornos de IAM empresarial. Cada opción tiene sentido de forma aislada. Juntas crean una brecha que anula todos los controles posteriores.

La enumeración de nombres de usuario es el único requisito previo para la explotación. En la mayoría de los sitios WordPress, los nombres de usuario no son difíciles de obtener. Si su organización utiliza WordPress con este plugin, debe tratar cualquier cuenta de administrador como potencialmente comprometida hasta confirmar que el plugin está actualizado y haber revisado los registros de autenticación en busca de sesiones de administrador anómalas.

Actualice a una versión parcheada de inmediato. Si aún no se ha publicado ninguna, deshabilite el plugin por completo en lugar de intentar mitigarlo mediante configuración. Obtenga la lista de cuentas de administrador de WordPress, compárela con los eventos de inicio de sesión recientes y busque sesiones que no tengan un evento MFA asociado o que provengan de rangos de IP inusuales. Si utiliza un WAF delante de sus instancias de WordPress, añada una regla para bloquear las solicitudes POST que contengan mo_wp_login_intent=otp como medida de mitigación a corto plazo mientras coordina la actualización.