Résumé
Le 16 octobre 2026, une faille critique a été découverte dans le plugin miniOrange OTP Login pour WordPress. Cette vulnérabilité permet à un attaquant non authentifié d’accéder aux comptes de n’importe quel utilisateur WordPress, y compris les administrateurs, en utilisant uniquement un nom d’utilisateur connu et une quelconque combinaison de caractères pour la mot de passe. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées.
Solutions
Il est impératif de mettre à jour le plugin vers la dernière version sécurisée disponible par son éditeur.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 8,1/10
EPSS : 0,43%
Référencée comme KEV : Oui
Code d exploitation disponible : Non
Systèmes affectés
• Plugin miniOrange OTP Login, Verification and SMS Notifications (jusqu’à la version 5.5.8)
Documentation
• NIST NVD : https://nvd.nist.gov/vuln/detail/CVE-2026-103895
• CVE Details : https://www.cvedetails.com/cve/CVE-2026-103895/
• Référence CVE : https://www.cve.org/CVERecord?id=CVE-2026-103895