CVE-2026-103895／CVSS 8.1
miniOrange OTP Verificationは、SMS・メール・WhatsAppなどのワンタイムパスワードを利用して、ログインや本人確認を行うプラグインです。
今回の問題は、一定期間OTPの再入力を省略する機能にあります。
特定の設定が有効で、対象ユーザーがOTP省略の有効期間内にいる場合、攻撃者が正しいパスワードを知らなくても、そのユーザーとしてログインできる可能性があります。
管理者アカウントも対象になり得ますが、OTPのみのログインとDelay OTP Verificationの両方が有効であることなど、複数の条件が必要です。Wordfence
修正版は5.6.0です。
公式情報： Wordfence脆弱性情報 ／ Patchstack脆弱性情報 ／ WordPress.org公式ページ
TM WebWorksブログ記事案
【2026年10月】miniOrange OTP Verificationに認証回避の脆弱性｜OTPログイン設定に注意
WordPressのワンタイムパスワード認証プラグイン「miniOrange OTP Verification」に、認証を回避できる可能性のある脆弱性が報告されました。
このプラグインは、SMSやメールなどによる本人確認を追加し、不正ログインや不正登録の防止を支援します。
今回の問題は、OTP認証を一定期間省略する機能の管理方法にあります。
特定の設定が有効な場合、攻撃者が他のユーザーの認証済み状態を悪用し、正しいパスワードを入力せずにログインできる可能性があります。
影響するのは5.5.8以前で、5.6.0で修正されています。
利用中の場合は更新を行い、OTPログイン、パスワードログイン、管理者アカウントの認証が正常に機能するか確認してください。
メタディスクリプション： 2026年10月、miniOrange OTP VerificationにCVSS 8.1の認証回避脆弱性。OTPログインの悪用条件、修正版5.6.0と確認方法を解説します。