CVE-2026-111949

Estado: RecibidaSin puntuar—

Gravedad—Sin puntuar

Probabilidad de explotación—en los próximos 30 días

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

El plugin de WordPress miniOrange 2FA anterior a la versión 6.3.1 no impide que un inicio de sesión con passkey pendiente registre una passkey adicional en una cuenta que ya tiene una configurada, lo que permite a un atacante que conozca la contraseña de un usuario añadir su propio autenticador y eludir el segundo factor.

Traducción automática del texto original de NVD (en inglés).

CVSS

NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).

Probabilidad de explotación (EPSS)

FIRST aún no ha puntuado esta CVE (habitual en CVEs muy recientes o rechazadas).

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Miniorange — Miniorange 2FA^AI

Referencias

Mostrar las 1 referencias

https://wpscan.com/vulnerability/0bd43d99-6b83-4d77-85d6-2c512b8da022/

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-111949",
  "cveTags": [],
  "metrics": {},
  "affected": [
    {
      "source": "contact@wpscan.com",
      "affectedData": [
        {
          "vendor": "Unknown",
          "product": "miniOrange 2FA",
          "versions": [
            {
              "status": "affected",
              "version": "6.2.9",
              "lessThan": "6.3.1",
              "versionType": "semver"
            }
          ],
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-21T06:16:48.543",
  "references": [
    {
      "url": "https://wpscan.com/vulnerability/0bd43d99-6b83-4d77-85d6-2c512b8da022/",
      "source": "contact@wpscan.com"
    }
  ],
  "vulnStatus": "Received",
  "descriptions": [
    {
      "lang": "en",
      "value": "The miniOrange 2FA  WordPress plugin before 6.3.1 does not prevent a pending passkey login from registering an additional passkey on an account that already has one configured, allowing an attacker who knows a user's password to add their own authenticator and bypass the second factor."
    }
  ],
  "lastModified": "2026-10-21T06:16:48.543",
  "sourceIdentifier": "contact@wpscan.com"
}