CVE-2026-16036— miniOrange 2FA < 6.2.7 通过仅密码第二因素重绑定绕过2FA
可能的 ATT&CK 技术 1AI
T1110 · Brute Force影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Unknown | miniOrange 2FA | < 6.2.7 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-16036 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
miniOrange 2FA < 6.2.7 - 2FA Bypass via Password-Only Second-Factor Rebinding
来源: CVE Program / CVE List V5
Vulnerability Description
The miniOrange 2FA WordPress plugin before 6.2.7 does not bind the second factor being configured during the pre-login two-factor challenge to the target account's existing factor, allowing an attacker who knows a user's password to rebind that user's second factor to an attacker-controlled destination, complete the challenge, and take over the account, including administrator accounts.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | miniOrange 2FA | 0 ~ 6.2.7 | - |
二、漏洞 CVE-2026-16036 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-16036 的情报信息
请登录查看更多情报信息。
CVE-2026-16036 厂商安全公告 (1)
- 🔗 miniOrange 2FA < 6.2.7 – 2FA Bypass via Password-Only Second-Factor Rebinding | CVE 2026-16036 | Plugin Vulnerabilitiesexploitvdb-entrytechnical-description
同批安全公告 · Unknown · 2026-08-05 · 共 24 条
| CVE-2026-16981 | WooCommerce DHL插件 4.0.1 前 IDOR漏洞 | |
| CVE-2026-16573 | Bit Form <3.2.0 未授权存储型XSS漏洞 | |
| CVE-2026-16602 | WordPress passster 安全漏洞 | |
| CVE-2026-16583 | Orbit Fox by ThemeIsle 3.0.8 以下存储型XSS漏洞 | |
| CVE-2026-16561 | Sunshine Photo Cart <3.6.12 未授权私有画廊评论泄露漏洞 | |
| CVE-2026-16603 | WordPress passster 安全漏洞 | |
| CVE-2026-16736 | User Registration & Membership 5.2.6 未授权账户创建漏洞 | |
| CVE-2026-16613 | GDPR Cookie Compliance < 5.1.0 CSRF强制登出漏洞 | |
| CVE-2026-16604 | WordPress passster 安全漏洞 | |
| CVE-2026-16746 | WordPress MultiVendorX 安全漏洞 | |
| CVE-2026-16605 | MultiVendorX <5.0.11 存储所有者+跨商店接管和删除漏洞 | |
| CVE-2026-16940 | WooCommerce自定义字段插件 < 1.5.1 未授权路径遍历任意文件删除漏洞 | |
| CVE-2026-16055 | Contest Gallery <30.0.7 未认证登录绕过与2FA绕过漏洞 | |
| CVE-2026-16993 | DHL for WooCommerce < 4.0.1 未认证发货标签泄露漏洞 | |
| CVE-2026-16968 | GeoDirectory <2.8.168 贡献者用户邮箱泄露漏洞 | |
| CVE-2026-16942 | WP Custom HTML Pages <=0.6.2 存储型XSS漏洞 | |
| CVE-2025-15677 | GeoDirectory < 2.8.110 编辑器存储型XSS漏洞 | |
| CVE-2026-14553 | Zportals 6.3.4 以下版本任意文件上传漏洞 | |
| CVE-2026-15210 | Login/Signup with Phone Number, OTP Verification 1.8.71以下版本 未授权账户接管漏洞 | |
| CVE-2026-15230 | YayPricing < 3.5.7 订阅配置修改与优惠券泄露 |
显示前 20 条，共 24 条。 查看全部 → →
IV. Related Vulnerabilities
V. Comments for CVE-2026-16036
暂无评论