невзлом

Важно · WordPress miniOrange OAuth SSO

CVE-2026-120844 — miniOrange OAuth SSO Client ≤7.1.3 unauth privilege escalation, fix 7.1.4

· CVE-2026-120844

← Простая версия для всех

Суть

CWE-266 Incorrect Privilege Assignment в OAuth Client miniOrange. CNA Patchstack: Privilege Escalation, Required privilege: Unauthenticated, CVSS 3.1 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Итог для сайта — получение роли администратора / контроль WP. Детали эксплуатации и PoC — вне публикации.

Затронуто и исправлено

КомпонентУязвимоИсправлено
OAuth Single Sign On – SSO (OAuth Client)≤ 7.1.3≥ 7.1.4

Slug: miniorange-login-with-eve-online-google-facebook. Не путать с SAML Single Sign On и другими продуктами miniOrange.

Эксплуатация

  • CISA KEV — нет.
  • Patchstack marketing «expected to become exploited» ≠ подтверждённые атаки; в отчёты клиенту как факт не переносить.
  • Ссылки на write-up/PoC/WPSec — запрет.

Как проверить

# WP-CLI
wp plugin get miniorange-login-with-eve-online-google-facebook --fields=name,status,version
# уязвимо, если version ≤ 7.1.3 и status=active

В UI: Плагины → карточка версии. Критерий закрытия: version ≥ 7.1.4 или плагин inactive/удалён. Парк сайтов: тот же slug по всем инстансам (в т.ч. Bedrock/composer lock и образы с зашитыми плагинами) — снять pin и прогнать update pipeline.

Как исправить

  1. Staging → wp plugin update miniorange-login-with-eve-online-google-facebook (или UI) → проверить OAuth login (Google/Facebook/… как у клиента).
  2. Prod в окне: бэкап БД+файлов → update → smoke SSO + wp-admin.
  3. Update недоступен: wp plugin deactivate miniorange-login-with-eve-online-google-facebook (временный вход — локальные учётки WP / другой IdP); согласовать апгрейд.

Patchstack: mitigation rule для этой дыры не назначается — полагаться на WAF-правило агрегатора нельзя.

Если обновить нельзя

Единственный полный съём вектора без патча — отключить/удалить плагин. Compensating: сузить кто может инициировать OAuth на периметре — слабее патча, не считать закрытием CVE.

Признаки взлома и что делать

Официальных IoC нет. Смотреть: новые administrator / смены email админов / неизвестные плагины после периода риска. При подозрении: ротация паролей и application passwords, инвалидация сессий, ротация секретов OAuth-клиента у провайдера, разбор access/error log — после патча/отключения.

Источники