Patchstack potwierdził aktywne wykorzystywanie luki o maksymalnym stopniu zagrożenia we wtyczce Modular DS dla WordPressa, dotyczącej ponad 40 000 witryn.
🔓 CVE-2026-23550 umożliwia nieuwierzytelnione podniesienie uprawnień, pozwalając atakującym automatycznie logować się jako administratorzy i w pełni przejąć dotknięte witryny.
Na czym polega problem?
Luka wynika z nadmiernie permisywnej logiki routingu w punktach końcowych /api/modular-connector/ wtyczki.
Atakujący mogą obejść uwierzytelnianie, gdy:
- włączony jest tryb
direct request - Żądania zawierają spreparowane parametry, takie jak:
origin=mo&type=xxx
Powoduje to, że chronione trasy są traktowane jak zaufane żądania wewnętrzne — bez weryfikacji kryptograficznej.
Udostępniane funkcje obejmują:
/login/→ automatyczny dostęp administratora/server-information//manager//backup/
Po wykorzystaniu luki atakujący mogą:
- Tworzyć nowych użytkowników z uprawnieniami administratora
- Wykradać wrażliwe dane
- Wstrzykiwać malware lub backdoory
- Przekierowywać odwiedzających na oszukańcze strony
Oś czasu ataków
📅 Pierwsze wykrycie: 13 stycznia 2026 r. (02:00 UTC)
🌍 Zaobserwowane adresy IP atakujących:
- 45.11.89.19
- 185.196.0.11
Ograniczanie ryzyka i reakcja
✅ Zaktualizuj natychmiast do Modular DS 2.5.2
🔍 Sprawdź swoją witrynę pod kątem:
- Nieoczekiwanych kont administratorów
- Podejrzanych prób logowania
Jeśli podejrzewasz przejęcie:
- Wygeneruj ponownie sole WordPress (salts)
- Zmień poświadczenia OAuth
- Przeskanuj witrynę pod kątem złośliwych wtyczek i plików
🗣️ „Ta luka pokazuje, jak niebezpieczne może być niejawne zaufanie do wewnętrznych ścieżek żądań, gdy są one wystawione do publicznego internetu”. — Patchstack
Najważniejszy wniosek
To nie był pojedynczy błąd — to łańcuch ryzykownych decyzji projektowych:
- Dopasowywanie tras na podstawie adresu URL
- Zaufanie do stanu połączenia zamiast do tożsamości żądania
- Logika automatycznego awaryjnego logowania administratora
Podręcznikowy przykład tego, jak wady projektowe + wystawione API = krytyczne ryzyko.
