Две критични уязвимости в плъгина miniOrange SAML 2.0 Single Sign-On биха могли да позволят на неудостоверени атакуващи да се впишат в уязвими WordPress сайтове като всеки съществуващ потребител, включително администратори.
Проблемите, проследявани като CVE-2026-61979 и CVE-2026-15981, имат CVSS рейтинг от 9.8 и са свързани с опити за експлоатация в реална среда.
Уязвимостите засягат софтуера за еднократно влизане (SSO) на базата на SAML на miniOrange, който позволява на WordPress сайтовете да удостоверяват потребители чрез външен доставчик на идентичност (Identity Provider).
Чрез експлоатиране на слаби места в валидирането на SAML подписа на плъгина, атакуващите могат да фалшифицират отговор за удостоверяване и да получат достъп до панела WordPress /wp-admin без легитимни идентификационни данни.
CVE-2026-61979 е уязвимост, свързана с объркване на алгоритъма за подписване. Плъгинът приема алгоритъма за подписване, указан във входящия SAML отговор, позволявайки на атакуващ да превключи очакваната проверка, базирана на RSA, към HMAC-SHA-1.
В уязвимия кодов път плъгинът може да третира публично достъпен публичен RSA ключ като споделена тайна на HMAC. Тогава атакуващият може да използва този публичен ключ, за да подпише злонамерен SAML аргумент, който плъгинът ще приеме за легитимен.
Вторият проблем, CVE-2026-15981, произтича от неправилно боравене с върнатата стойност от функцията openssl_verify(). Тази функция връща 1 за валиден подпис, 0 за невалиден подпис и -1 за вътрешна грешка на OpenSSL.
Плъгинът третира резултата като проста булева стойност. Тъй като -1 се оценява като истина (true) в PHP, лошо форматиран подпис, който предизвиква грешка в OpenSSL, може погрешно да бъде приет за валиден.
Екипът по сигурност на DigitalOcean откри и блокира подозрителна активност в администраторски сесии на WordPress, произхождаща извън доверени мрежи.
По-късно разследващите възпроизведоха и двете възможности за заобикаляне на защитата в miniOrange Standard издание 16.1.9. Те проследиха проблемите до логиката за валидиране на SAML в плъгина и вградената XML библиотека за сигурност.
Според Patchstack, инцидентът също така разкрива голям проблем с видимостта, засягащ администраторите на WordPress. miniOrange разпространява седем отделно номерирани издания под един и същ идентификатор на плъгин (slug) miniorange-saml-20-single-sign-on.
Публичните записи за уязвимости първоначално покриваха само безплатното издание, оставяйки платените издания извън публичните бюлетини и бази данни за уязвимости. В резултат на това много платени инсталации може да изглеждат напълно обновени, въпреки че работят с уязвими версии.
За изданието Standard, miniOrange коригира уязвимост CVE-2026-61979 във версия 17.0.5 и CVE-2026-15981 във версия 17.0.6. Засегнатите инсталации от серията 16.x обаче може да не получат известие за актуализация през контролния панел на WordPress.
Администраторите може да се наложи ръчно да качат коригирания пакет на плъгина, за да преминат към обновената линия версии 17.x. Екипите по сигурност трябва да идентифицират точното издание на своя продукт miniOrange и да потвърдят, че са инсталирани корекции за сигурност от съответната обновена версия.
Те също така трябва да прегледат регистрационните файлове на WordPress, уеб сървъра и идентификационните данни за администраторски сесии от необичайни или недоверени IP адреси.
DigitalOcean наблюдава опити за сканиране от множество облачни, хостинг, VPN и мобилни мрежови адреси, което предполага опортюнистична експлоатация, а не тясно насочена кампания.
Тези уязвимости показват защо проследяването на версиите на плъгините трябва да отчита отделните търговски издания, а не само споделения списък в WordPress.org. Когато разработчиците отстраняват уязвимости в платени версии без публични бюлетини или ясни пътища за обновяване, скенерите за уязвимости, таблата за управление и администраторите могат да получат грешен сигнал, че системите са защитени.