miniOrange vulnerabilities

6 CVEs tracked

miniOrange appears in recent reports within the context of critical authentication bypass and account takeover vulnerabilities in its WordPress plugins. The primary theme involves flawed logic in two-factor authentication (2FA) and social login mechanisms, specifically allowing attackers to bypass 2FA or rebind second factors, as detailed in CVE-2026-12695, CVE-2026-16035, CVE-2026-16036, CVE-2026-16619, and CVE-2026-14300. An additional unauthenticated XSS issue (CVE-2026-61957) affects the OTP verification plugin. Defenders should prioritize patching the miniOrange 2FA, Social Login, and OTP Verification plugins to their latest versions, focusing on logic flaws that allow attackers to bypass the second factor entirely, especially when the primary password is compromised.

Azərbaycanca: miniOrange, WordPress üçün autentifikasiya və təhlükəsizlik plaginləri ilə son hesabatlarda ciddi boşluqlar kontekstində görünür. Əsas mövzu ikifaktorlu autentifikasiya (2FA) və sosial giriş mexanizmlərində bir sıra autentifikasiyadan yan keçmə və hesab ələ keçirmə (account takeover) zəiflikləridir, xüsusilə CVE-2026-12695, CVE-2026-16035, CVE-2026-16036, CVE-2026-16619 və CVE-2026-14300 vasitəsilə. Bundan əlavə, OTP yoxlama plaginində autentifikasiya olunmamış XSS (CVE-2026-61957) aşkarlanıb. Müdafiəçi dərhal miniOrange 2FA, Social Login və OTP Verification plaginlərini ən son versiyalara yeniləməli, ələlxüsus parolun sızdırıldığı hallarda 2FA-nın asanlıqla yan keçilməsinə imkan verən məntiq qüsurlarına qarşı təcili tədbir görməlidir.

This hub is built from skopnix's own reporting on miniOrange: the overview is AI-written from that coverage and every CVE links to its grounded explainer. KEV status comes from CISA's Known Exploited Vulnerabilities catalog and EPSS from FIRST — vendor, version and score details are never invented.