Vulnerabilitate critică WordPress: CVE-2026-23550 permite preluarea completă a site-urilor prin pluginul Modular DS

Introducere

Ecosistemul WordPress rămâne una dintre cele mai vizate platforme de către atacatori, în special din cauza utilizării pe scară largă a pluginurilor dezvoltate de terți. O vulnerabilitate deosebit de gravă, exploatată activ, a fost recent identificată în pluginul Modular DS, utilizat de peste 40.000 de site-uri WordPress.

Vulnerabilitatea, catalogată drept CVE-2026-23550, are un scor CVSS maxim de 10/10 și permite escaladarea privilegiilor fără autentificare. Aceasta oferă atacatorilor posibilitatea de a obține acces complet de administrator, fără a deține credențiale valide, expunând site-urile afectate la compromitere totală.

Ce este CVE-2026-23550 și de ce reprezintă un risc major

CVE-2026-23550 afectează toate versiunile pluginului Modular DS până la și inclusiv versiunea 2.5.1. Vulnerabilitatea a fost remediată abia în versiunea 2.5.2.

Caracteristicile care fac această problemă extrem de periculoasă sunt:

• lipsa completă a autentificării necesare exploatării;

• posibilitatea de exploatare prin cereri HTTP simple;

• accesul direct la funcții administrative critice;

• conectarea automată ca administrator WordPress.

În practică, orice site care are pluginul instalat și conectat anterior la serviciul Modular este expus, indiferent de măsurile de securitate suplimentare implementate la nivel de WordPress.

Mecanismul tehnic al vulnerabilității

Problema își are originea în mecanismul de rutare al pluginului Modular DS. Acesta expune mai multe endpoint-uri API sub prefixul:

/api/modular-connector/

Deși aceste rute ar trebui să fie protejate printr-un middleware de autentificare, s-a constatat că protecția poate fi ocolită atunci când este activ modul de solicitare directă (direct request).

Ocolirea autentificării

O cerere care include:

• parametrul origin setat la valoarea mo;

• parametrul type setat la orice valoare arbitrară,

este tratată ca o cerere legitimă provenită din infrastructura Modular. În acest proces nu există nicio verificare criptografică reală care să lege cererea de serviciul Modular autentic.

Dacă site-ul are deja jetoane OAuth valide sau reînnoibile, cererea trece automat de mecanismele de autentificare, expunând rute sensibile fără niciun control suplimentar.

Endpoint-uri expuse și impact

Prin această breșă sunt expuse mai multe endpoint-uri critice, printre care:

• /login/ – permite autentificarea ca administrator;

• /server-information/ – dezvăluie informații sensibile despre server;

• /manager/ – oferă acces la funcții administrative;

• /backup/ – poate permite accesul la copii de siguranță și date sensibile.

Ruta cea mai gravă este:

/api/modular-connector/login/{modular_request}

Exploatarea acesteia permite unui atacator neautentificat:

• să obțină acces complet de administrator;

• să creeze sau să modifice conturi cu privilegii ridicate;

• să injecteze cod malițios;

• să instaleze backdoor-uri sau malware;

• să redirecționeze utilizatorii către site-uri malițioase;

• să compromită integral confidențialitatea și integritatea site-ului.

Exploatare activă în mediul real

Companii specializate în securitate WordPress au confirmat că vulnerabilitatea este exploatată activ. Atacurile au fost observate sub forma:

• apelurilor HTTP GET către /api/modular-connector/login/;

• tentativelor automate de creare a conturilor de administrator;

• scanărilor în masă pentru identificarea site-urilor vulnerabile.

Acest comportament indică utilizarea exploit-ului la scară largă, în principal prin botnet-uri și scanere automate.

Măsuri urgente recomandate

Utilizatorii pluginului Modular DS trebuie să acționeze imediat pentru a reduce riscurile:

Actualizarea pluginului

Se recomandă actualizarea imediată la versiunea 2.5.2 sau mai nouă. Dacă acest lucru nu este posibil, pluginul ar trebui dezactivat temporar.

Verificarea compromiterii

Administratorii ar trebui să verifice:

• existența unor conturi de administrator necunoscute;

• activități suspecte în loguri;

• modificări recente ale fișierelor sau bazei de date.

Pași de remediere

În cazul în care există suspiciuni de compromitere, sunt recomandate următoarele acțiuni:

• regenerarea cheilor de securitate WordPress pentru invalidarea sesiunilor;

• reînnoirea tuturor acreditărilor OAuth;

• scanarea completă a site-ului pentru identificarea fișierelor, pluginurilor sau codului malițios.

Concluzie

CVE-2026-23550 evidențiază riscurile majore generate de pluginurile WordPress care implementează mecanisme de autentificare defectuoase. Gravitatea maximă, exploatarea activă și impactul total asupra site-urilor afectate fac din această vulnerabilitate o amenințare critică.

Menținerea pluginurilor actualizate, auditarea periodică a securității și monitorizarea continuă a activității site-ului sunt esențiale pentru prevenirea unor incidente similare în viitor.

Partajați această postare

Etichete

Arhivează