Vulnerabilitate critică în pluginul modular DS pentru WordPress

O vulnerabilitate de securitate cu grad maxim de severitate într-un plugin WordPress numit Modular DS a fost exploatată în mod activ.

Vulnerabilitatea, identificată ca CVE-2026-23550 (scor CvSS: 10/10), a fost descrisă ca un caz de escaladare a privilegiilor neautentificate care afectează toate versiunile pluginului anterioare și inclusiv 2.5.1. Aceasta a fost remediată în versiunea 2.5.2. Pluginul are peste 40.000 de instalări active.

În versiunile 2.5.1 și mai vechi, pluginul este vulnerabil la escaladarea privilegiilor, din cauza unei combinații de factori, inclusiv selectarea directă a rutei, ocolirea mecanismelor de autentificare și conectarea automată ca administrator, au semnalat specialiștii.

Problema își are originea în mecanismul său de rutare, care este conceput pentru a plasa anumite rute sensibile în spatele unei bariere de autentificare. Pluginul expune rutele sale sub prefixul /api/modular-connector/.

Cu toate acestea, s-a constatat că acest strat de securitate poate fi ocolit de fiecare dată când modul solicitare directă (direct request) este activat, furnizând un parametru origine (origin) setat la mo și un parametru tip setat la orice valoare (de exemplu, origine=mo&tip=xxx). Acest lucru face ca solicitarea să fie tratată ca o solicitare directă Modular.

Prin urmare, de îndată ce site-ul a fost deja conectat la Modular (jetoane prezente/reînnoibile), oricine poate trece de middleware-ul de autentificare: nu există nicio legătură criptografică între cererea primită și Modular în sine.

Aceasta expune mai multe rute, inclusiv /login/, /server-information/, /manager/ și /backup/, care permit efectuarea diverselor acțiuni, de la conectarea la distanță până la obținerea de date sensibile despre sistem sau utilizatori.

Ca urmare a acestei breșe, un atacator neautentificat poate exploata ruta /login/{modular_request} pentru a obține acces de administrator, ceea ce duce la escaladarea privilegiilor. Acest lucru ar putea deschide calea către compromiterea completă a site-ului, permițând unui atacator să introducă modificări rău intenționate, să instaleze malware sau să redirecționeze utilizatorii către site-uri malițioase.

Conform detaliilor furnizate de compania de securitate WordPress, atacurile care exploatează această vulnerabilitate au avut loc prin apeluri HTTP GET către endpoint-ul /api/modular-connector/login/, urmate de încercări de creare a unui cont de administrator.

Având în vedere exploatarea activă a CVE-2026-23550, utilizatorii pluginului sunt sfătuiți să actualizeze la o versiune patch-uită cât mai curând posibil.

Modular DS recomandă, de asemenea, utilizatorilor să își verifice site-urile pentru a detecta semne de compromitere, cum ar fi conturi de administrator necunoscuți sau solicitări suspecte din partea scanerelor automate și, dacă găsesc astfel de semne, să urmeze pașii de mai jos:

regenerați codurile WordPress pentru a invalida toate sesiunile existente;

reînnoirea datelor de autentificare OAuth;

scanează site-ul în căutarea pluginurilor, fișierelor sau codurilor rău intenționate.

Sursă: https://thehackernews.com/2026/01/critical-wordpress-modular-ds-plugin.html