Un contournement d'authentification critique a été divulgué dans le plugin miniOrange OTP Login, Verification and SMS Notifications pour WordPress, touchant toutes les versions jusqu'à la version 5.5.5 inclusivement. Un attaquant non authentifié qui connaît le nom d'utilisateur d'un administrateur peut se connecter sans mot de passe ni OTP en publiant simplement mo_wp_login_intent=otp dans la requête. Aucun élément d'identification n'est vérifié. L'entrée NVD pour CVE-2026-85984 contient l'analyse technique complète.

Voici ce qui a réellement mal tourné du point de vue de l'IAM : la fonction mo_by_pass_login() du plugin prend un raccourci lorsque skip_pass_fallback est activé. Elle résout un objet utilisateur WordPress uniquement à partir d'une recherche par nom d'utilisateur, vérifie ensuite si cet utilisateur est administrateur, et le cas échéant, contourne entièrement wp_authenticate_username_password(). Le paramètre mo_wp_login_intent qui déclenche cette branche est accepté depuis une requête POST sans signature, sans liaison de session et sans vérification. Celui qui a écrit ce code pensait que « vérification du rôle administrateur » était équivalent à « authentification ». Ce n'est pas le cas. Le rôle est un attribut d'une session déjà authentifiée. Le vérifier avant l'authentification est circulaire et, dans ce cas, catastrophiquement incorrect.

Les conditions d'exploitation sont spécifiques : un administrateur du site doit avoir activé simultanément WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password, et Admin OTP Bypass. Il s'agit d'une configuration qui semble avoir été assemblée de façon incrémentale, option par option, sans que personne ne prenne le recul nécessaire pour réfléchir à l'effet combiné. On observe ce phénomène constamment en IAM d'entreprise également. Chaque paramètre est logique pris isolément. Ensemble, ils créent une brèche qui annule tous les contrôles en aval.

L'énumération des noms d'utilisateur est le seul prérequis à l'exploitation. Sur la plupart des sites WordPress, les noms d'utilisateur ne sont pas difficiles à obtenir. Si votre organisation exploite WordPress avec ce plugin, vous devez considérer tout compte administrateur comme potentiellement compromis jusqu'à ce que vous ayez confirmé que le plugin est mis à jour et que vous ayez examiné vos journaux d'authentification pour repérer des sessions administrateur anormales.

Mettez à jour vers une version corrigée immédiatement. Si aucune n'est encore publiée, désactivez le plugin complètement plutôt que de tenter de contourner le problème par la configuration. Extrayez la liste de vos comptes administrateur WordPress, comparez-la aux événements de connexion récents, et recherchez les sessions qui ne comportent pas d'événement MFA correspondant ou qui proviennent de plages d'adresses IP inhabituelles. Si vous utilisez un WAF devant vos instances WordPress, ajoutez une règle pour bloquer les requêtes POST contenant mo_wp_login_intent=otp comme mesure d'atténuation à court terme pendant que vous coordonnez la mise à jour.