---
title: "Kritična ranjivost u WordPress pluginu Modular DS aktivno se zloupotrebljava za admin pristup (CVE-2026-23550)"
url: "https://helloblog.io/hr/kriticna-ranjivost-wordpress-modular-ds-cve-2026-23550/"
date: "2026-01-19"
modified: "2026-01-20"
author: "Marko Kovačić"
language: "hr_HR"
categories: ["Sigurnost"]
tags: ["CVE", "Patch Management", "Ranjivosti", "Sigurnost", "WordPress"]
featured_image: "https://helloblog.io/app/uploads/sites/22/2026/01/featured-4-1024x572.jpg"
excerpt: "Ako na WordPressu koristiš Modular DS, ovo je jedan od onih hitnih updateova koje ne odgađaš. Kritična ranjivost (CVSS 10.0) omogućuje neautenticirano podizanje privilegija do admina i već se aktivno iskorištava."
---

# Kritična ranjivost u WordPress pluginu Modular DS aktivno se zloupotrebljava za admin pristup (CVE-2026-23550)

Patchstack je prijavio da se kritična ranjivost u WordPress pluginu **Modular DS** aktivno iskorištava “u divljini”. Riječ je o **CVE-2026-23550** s maksimalnim **CVSS 10.0**, a scenarij napada je posebno neugodan: **napadač bez ikakve autentikacije može eskalirati privilegije i doći do administratorskog pristupa**.

Problem pogađa **sve verzije do i uključujući 2.5.1**, a zakrpa je objavljena u **2.5.2**. Prema navodima, plugin ima **više od 40.000 aktivnih instalacija**, što ga čini vrlo privlačnom metom za automatizirane skenere i masovne kampanje.

## Što se točno događa: neautenticirana eskalacija privilegija kroz routing

U osnovi, greška je u načinu na koji plugin rješava **routing** (usmjeravanje) prema internim API rutama. Plugin izlaže svoje rute pod prefiksom `"/api/modular-connector/"` i pokušava osjetljive rute staviti iza autentikacijskog sloja (middleware).

Međutim, Patchstack opisuje kombinaciju dizajnerskih odluka koje u praksi otvaraju vrata zaobilasku zaštite: **previše permisivan matching ruta**, mogućnost tzv. **“direct request”** moda, i logika koja povjerenje temelji na tome je li web već spojen na Modular (npr. postoje tokeni koji se mogu obnavljati), bez kriptografske veze između dolaznog zahtjeva i stvarnog Modular servisa.

## Kako se zaobilazi zaštita (u kratkim crtama)

Prema objavljenim detaljima, zaštitni sloj se može zaobići kad je omogućen “direct request” način, tako da se u zahtjev doda:

- parametar `origin` postavljen na `mo`
- parametar `type` postavljen na bilo koju vrijednost (npr. `xxx`)

Takav zahtjev plugin tretira kao Modular “direct request”, što omogućuje prolaz kroz auth middleware u situaciji kad je web već ranije povezan s Modularom.

#### Zašto je ovo opasno

Ovdje se ne radi o klasičnom “bugu u jednoj liniji”, nego o lancu odluka: URL-based route matching, permisivan direct mode, autentikacija vezana uz stanje konekcije weba i login flow koji može završiti auto-loginom u admin kontekst.

## Koje rute su izložene i što napadač dobiva

Patchstack navodi da propust otvara više ruta koje mogu odraditi vrlo osjetljive operacije, uključujući:

- `/login/` (daljinski login tok)
- `/server-information/` (potencijalno osjetljive informacije o sustavu)
- `/manager/`
- `/backup/`

Najkritičniji dio je da napadač može iskoristiti rutu `"/login/{modular_request}"` kako bi došao do administratorskog pristupa, što onda otvara put punoj kompromitaciji: ubacivanje zlonamjernih promjena, postavljanje malwarea, preusmjeravanje korisnika na prijevare i slično.

## Indikatori napada (što tražiti u logovima)

Prema Patchstacku, napadi su prvi put detektirani **13. siječnja 2026. oko 02:00 UTC**, i uključivali su HTTP GET pozive prema endpointu `"/api/modular-connector/login/"`, nakon čega su slijedili pokušaji kreiranja admin korisnika.

U izvještaju su spomenute i IP adrese s kojih su dolazili napadi (korisno za brzu korelaciju u WAF-u / access logovima):

- 45.11.89\[.\]19
- 185.196.0\[.\]11

## Što napraviti odmah (prioriteti sanacije)

1. **Ažuriraj Modular DS na verziju 2.5.2** (ili noviju) što je prije moguće.
2. Provjeri imaš li **neočekivane admin korisnike** (posebno one kreirane u zadnje vrijeme) i auditiraj promjene privilegija.
3. Pregledaj access logove/WAF događaje za zahtjeve prema `"/api/modular-connector/login/"` i sumnjive kombinacije parametara `origin`/`type`.
4. Ako sumnjaš na kompromitaciju, napravi korake koje preporučuje Modular DS: regeneriraj **WordPress salts** (poništava postojeće sesije), regeneriraj **OAuth credentials**, te skeniraj web za zlonamjerne plugine/datoteke/kod.

#### Praktična napomena za timove

Ako održavaš više WP instanci, ovo je dobar kandidat za “fleet” update (bulk), uz paralelnu provjeru korisnika i brzi grep po logovima za `/api/modular-connector/` zahtjeve.

## Kontekst za developere: zašto routing sloj može biti najslabija karika

Održavatelji plugina naveli su da je ranjivost bila u **custom routing layeru** koji proširuje Laravelovu funkcionalnost matchanja ruta. Kad se u WordPress pluginu implementira vlastiti mini-framework za rute, lako se dogodi da pravila matchanja postanu preširoka, a autentikacija se veže uz “state” (npr. site je povezan) umjesto uz čvrstu verifikaciju svakog zahtjeva.

U takvim integracijama je posebno rizično imati “internal” putanje koje su zapravo izložene javnom internetu, a zatim ih štititi implicitnim povjerenjem (npr. parametarima u URL-u) umjesto kriptografski potpisanim zahtjevima i striktno definiranom autorizacijom po ruti.

## Sažetak

- CVE-2026-23550 (CVSS 10.0) pogađa Modular DS do 2.5.1 i omogućuje neautenticiran admin pristup.
- Eksploatacija je aktivna; uočeni su zahtjevi prema `/api/modular-connector/login/` i pokušaji kreiranja admin korisnika.
- Rješenje je update na 2.5.2 (ili novije) i brza provjera kompromitacije: korisnici, logovi, salts, OAuth, skeniranje datoteka.

## Reference / Izvori

- [Critical WordPress Modular DS Plugin Flaw Actively Exploited to Gain Admin Access](https://thehackernews.com/2026/01/critical-wordpress-modular-ds-plugin.html)
- [Critical privilege escalation vulnerability in Modular DS plugin affecting 40k+ sites exploited in the wild](https://patchstack.com/articles/critical-privilege-escalation-vulnerability-in-modular-ds-plugin-affecting-40k-sites-exploited-in-the-wild/)
- [Modular DS Security Release: Modular Connector 2.5.2](https://help.modulards.com/en/article/modular-ds-security-release-modular-connector-252-dm3mv0/)