- Yama var
- Son 7 gün
- CWE-287
CVE-2026-111949
miniOrange 2FA eklentisinde passkey ikinci faktör yeniden bağlama üzerinden 2FA atlatma açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
miniOrange 2FA WordPress eklentisinin 6.3.1 sürümünden önceki sürümleri, bekleyen bir passkey girişinin, zaten bir passkey yapılandırılmış olan bir hesaba ek bir passkey kaydetmesini engellemez. Bu durum, kullanıcının parolasını bilen bir saldırganun kendi kimlik doğrulayıcısını eklemesine ve ikinci faktörü atlatmasına olanak tanır.
Kaynaktaki açıklama (İngilizce)
The miniOrange 2FA WordPress plugin before 6.3.1 does not prevent a pending passkey login from registering an additional passkey on an account that already has one configured, allowing an attacker who knows a user's password to add their own authenticator and bypass the second factor.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| miniOrange 2FA | ≥ 6.2.9, < 6.3.1 | 6.3.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/0bd43d99-6b83-4d77-85d6-2c512b8da022 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.