CVE-2026-23550: Κρίσιμο κενό στο Modular DS για WordPress δίνει admin πρόσβαση χωρίς login (και ήδη γίνεται exploit)

Αν έχεις sites που χρησιμοποιούν το Modular DS (ένα plugin με >40.000 ενεργές εγκαταστάσεις), υπάρχει λόγος να τα κοιτάξεις άμεσα: μια ευπάθεια μέγιστης σοβαρότητας (CVE-2026-23550, CVSS 10.0) επιτρέπει σε επιτιθέμενο χωρίς login να καταλήξει με administrator δικαιώματα. Σύμφωνα με την Patchstack, το κενό όχι μόνο είναι πραγματικό, αλλά γίνεται ενεργά exploited.

Τι ακριβώς είναι το πρόβλημα

Η Patchstack περιγράφει την ευπάθεια ως unauthenticated privilege escalation που επηρεάζει όλες τις εκδόσεις έως και την 2.5.1. Το fix διατίθεται στη 2.5.2 (security release από τους maintainers).

Η ρίζα του προβλήματος βρίσκεται στον μηχανισμό routing του plugin. Το Modular DS εκθέτει endpoints κάτω από το prefix /api/modular-connector/ και θεωρητικά «κλειδώνει» ορισμένα ευαίσθητα routes πίσω από authentication. Στην πράξη, όμως, υπάρχει τρόπος να παρακαμφθεί το authentication middleware όταν ενεργοποιηθεί η λογική του “direct request” mode.

Πώς γίνεται το bypass (σε υψηλό επίπεδο)

Το bypass επιτυγχάνεται με crafted request που δηλώνει πως πρόκειται για “Modular direct request”. Σύμφωνα με την ανάλυση, αρκεί να σταλεί origin=mo και ένα type με οποιαδήποτε τιμή (π.χ. origin=mo&type=xxx). Αυτό κάνει το request να αντιμετωπιστεί ως direct request και να περάσει από το auth layer, χωρίς να υπάρχει (όπως αναφέρεται) ένας ασφαλής/κρυπτογραφικός δεσμός που να αποδεικνύει ότι το αίτημα προέρχεται όντως από τη Modular.

Ποια endpoints εκτίθενται και γιατί αυτό οδηγεί σε admin takeover

Με το auth bypass εκτίθενται routes που κανονικά θα έπρεπε να θεωρούνται ευαίσθητα. Η Patchstack αναφέρει ενδεικτικά τα: /login/, /server-information/, /manager/, /backup/. Η κρίσιμη αλυσίδα είναι ότι ένας επιτιθέμενος μπορεί να εκμεταλλευτεί το route /login/{modular_request} για να καταλήξει σε administrator πρόσβαση (privilege escalation) χωρίς προηγούμενο login.

Από εκεί και πέρα, το ρίσκο είναι το κλασικό “full site compromise”: αλλαγές περιεχομένου, εγκατάσταση κακόβουλων plugins/files, injection σε theme files, ή redirects χρηστών σε scams.

Τι ξέρουμε για την εκμετάλλευση (in the wild)

Η Patchstack αναφέρει ότι οι πρώτες επιθέσεις παρατηρήθηκαν στις 13 Ιανουαρίου 2026 περίπου στις 02:00 UTC. Το μοτίβο που περιγράφεται περιλαμβάνει HTTP GET κλήσεις προς το /api/modular-connector/login/ και στη συνέχεια προσπάθειες για δημιουργία admin χρήστη.

Ως πηγές των επιθέσεων αναφέρονται (τουλάχιστον) οι παρακάτω IP διευθύνσεις:

• 45.11.89[.]19
• 185.196.0[.]11

Άμεσες ενέργειες για owners/devs

1. Κάνε update το Modular DS στη διορθωμένη έκδοση 2.5.2 (security release).
2. Έλεγξε άμεσα για σημάδια compromise: άγνωστοι/απρόσμενοι admin users, περίεργα requests προς το /api/modular-connector/, και γενικά συμπεριφορές automated scanners.
3. Αν δεις ενδείξεις παραβίασης, ακολούθησε τα hardening/cleanup βήματα που προτείνουν οι εμπλεκόμενοι: ανανέωση WordPress salts, ανανέωση OAuth credentials και έλεγχος για κακόβουλα plugins/αρχεία/κώδικα.

Πρακτικός έλεγχος: τι να ψάξεις γρήγορα

Χωρίς να μπούμε σε υπερβολικά forensics-heavy διαδικασία, υπάρχουν 2-3 γρήγορα checks που αξίζουν:

• Στη λίστα χρηστών: νέοι λογαριασμοί με ρόλο Administrator που δεν αντιστοιχούν σε πραγματικό άτομο/ροή.
• Στα access logs/WAF logs: αιτήματα προς /api/modular-connector/login/ και γενικά ασυνήθιστη δραστηριότητα κάτω από /api/modular-connector/.
• Στο filesystem: πρόσφατες αλλαγές σε plugin/theme αρχεία ή ύποπτα νέα PHP αρχεία.

Γιατί αυτή η κατηγορία bugs είναι ύπουλη

Αυτό το περιστατικό είναι καλό παράδειγμα του πόσο επικίνδυνη είναι η «σιωπηλή εμπιστοσύνη» σε εσωτερικές διαδρομές (internal request paths) όταν τελικά εκτίθενται στο public internet. Η Patchstack το αποδίδει σε συνδυασμό επιλογών σχεδίασης: URL-based route matching, permissive direct-request mode, authentication που βασίζεται μόνο στο αν το site είναι συνδεδεμένο, και login flow που μπορεί να κάνει fallback σε administrator.

The route matching logic was overly permissive, allowing crafted requests to match protected endpoints without proper authentication validation.

Modular DS maintainers (όπως αναφέρθηκε από Patchstack)

Συμπέρασμα

Το CVE-2026-23550 δεν είναι ένα «απλό» bug. Συνδυάζει routing και authentication assumptions με τρόπο που οδηγεί σε admin takeover, και μάλιστα με ενεργή εκμετάλλευση. Αν το Modular DS υπάρχει στο stack σου, η σωστή κίνηση είναι update στη 2.5.2 και γρήγορος έλεγχος για ύποπτες αλλαγές/χρήστες.