Krytyczna luka w wtyczce SSO miniOrange dla WordPressa – wciąż bez łatki

Krytyczna luka w wtyczce logowania SSO miniOrange – producent wciąż nie wydał łatki

Na przełomie czerwca i lipca 2026 roku ujawniono krytyczną lukę w popularnej wtyczce miniOrange OAuth Single Sign-On (OAuth Client) dla WordPressa. Błąd otrzymał numer CVE-2026-57807 i najwyższą możliwą ocenę wagi w skali CVSS – 9,8 na 10. Badacz bezpieczeństwa zgłosił go producentowi na początku czerwca, a publicznie ujawniono go 9 lipca – dzień później luka trafiła do bazy CVE (NVD). Według dostępnych informacji miniOrange nadal nie opublikował poprawionej wersji wtyczki.

Wtyczka służy do logowania się do WordPressa przez zewnętrznych dostawców tożsamości – Google, Microsoft, Facebook albo własny serwer OAuth firmy. To rozwiązanie chętnie wybierane przez firmy i instytucje, które chcą, żeby pracownicy logowali się do panelu WordPressa tym samym kontem, którego używają w innych systemach. Problem polega na tym, że mechanizm odzyskiwania hasła we wtyczce da się oszukać – nieuwierzytelniony atakujący, znając tylko login administratora, jest w stanie przejąć jego konto bez podawania hasła. To błąd klasy „obejście uwierzytelniania przez alternatywny kanał”, co w praktyce oznacza pełne przejęcie panelu administracyjnego, a stamtąd całej strony.

Dla kogoś, kto prowadzi zwykłą, jednoosobową stronę na WordPressie, ta konkretna wtyczka pewnie nie jest zainstalowana – to rozwiązanie bardziej firmowe niż blogowe. Ale jeśli zarządzasz stroną firmy, intranetem na WordPressie albo witryną skonfigurowaną kiedyś przez dział IT większej organizacji, warto sprawdzić listę aktywnych wtyczek. Jeśli miniOrange OAuth Client tam jest, najbezpieczniej na razie go wyłączyć – nie każdy hosting oferuje łatkę wirtualną na poziomie zapory aplikacyjnej, a czekanie na oficjalną poprawkę przy tak wysokiej ocenie ryzyka nie ma sensu.

Szerszy wniosek jest taki sam jak przy każdej głośnej luce w kodzie WordPressa czy jego wtyczek – im więcej dodatków ma strona, tym większa powierzchnia ataku, a odpowiedzialność za załatanie luki spoczywa najpierw na autorze wtyczki, nie na hostingu. Dobry hosting może ograniczyć skutki włamania – izolacja kont, kopie zapasowe, monitoring plików – ale nie zastąpi aktualizacji. O tym, jak sami sprawdzamy techniczną stronę hostingu, piszemy przy okazji naszej metodologii testów. O podobnej, świeżej luce w samym rdzeniu WordPressa (tzw. wp2shell) pisaliśmy niedawno na naszym blogu – oba przypadki pokazują, że luki bezpieczeństwa nie znikają wraz z wyborem hostingu, tylko wymagają bieżącej uwagi administratora strony. Jeśli nie masz pewności, czy Twoja strona jest w grupie ryzyka, możesz też do nas napisać.