Veille sécuritéCMS & e-commerce
P3Élevée
CVE-2026-103895 affecte le plugin miniOrange OTP Login, Verification and SMS Notifications jusqu’à la version 5.5.8 incluse et peut permettre une authentification sans mot de passe valide, y compris comme administrateur, sous certaines configurations OTP. La fiche NVD a été publiée et mise à jour pendant la période ; aucun correctif n’est indiqué dans les données fournies.
WordPress
IdentifiantCVE-2026-103895
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103895
Analyse technique
Le contournement dépend de l’activation de la connexion OTP sans mot de passe et de la vérification OTP différée, ainsi que de la fenêtre de grâce du compte ciblé.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-16 et mise à jour le 2026-10-16 ; la description fournie documente une vulnérabilité, et non une simple modification administrative.
ImpactUn attaquant non authentifié peut potentiellement se connecter comme un utilisateur, y compris un administrateur.
Versions affectéesToutes les versions jusqu’à 5.5.8 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS0,43% · percentile 35,5%
Publication2026-10-16T05:17:28.333Z
Mise à jour2026-10-16T16:16:54.177Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, désactiver les options OTP concernées si cela est possible.
Sources
Priorisation DFS : P3 · 1 source(s).