{"id":209,"date":"2026-01-19T15:49:45","date_gmt":"2026-01-19T14:49:45","guid":{"rendered":"https:\/\/helloblog.io\/hu\/kritikus-modular-ds-sebezhetoseg-admin-jogosultsag\/"},"modified":"2026-01-20T06:32:32","modified_gmt":"2026-01-20T05:32:32","slug":"kritikus-modular-ds-sebezhetoseg-admin-jogosultsag","status":"publish","type":"post","link":"https:\/\/helloblog.io\/hu\/kritikus-modular-ds-sebezhetoseg-admin-jogosultsag\/","title":{"rendered":"Kritikus Modular DS b\u0151v\u00edtm\u00e9ny sebezhet\u0151s\u00e9get haszn\u00e1lnak ki: jogosults\u00e1geszkal\u00e1ci\u00f3val admin hozz\u00e1f\u00e9r\u00e9st szerezhetnek"},"content":{"rendered":"\n<p>A Patchstack friss riaszt\u00e1sa szerint akt\u00edvan kihaszn\u00e1lnak egy maxim\u00e1lis s\u00falyoss\u00e1g\u00fa (CVSS 10.0) sebezhet\u0151s\u00e9get a <strong>Modular DS<\/strong> WordPress-b\u0151v\u00edtm\u00e9nyben. A hiba l\u00e9nyege, hogy <strong>bejelentkez\u00e9s n\u00e9lk\u00fcl<\/strong> lehet jogosults\u00e1got emelni, \u00e9s a t\u00e1mad\u00f3 v\u00e9g\u00fcl <strong>admin szint\u0171 hozz\u00e1f\u00e9r\u00e9st<\/strong> szerezhet az oldalon.<\/p>\n\n\n\n<p>A s\u00e9r\u00fcl\u00e9kenys\u00e9g azonos\u00edt\u00f3ja <strong>CVE-2026-23550<\/strong>, \u00e9s a le\u00edr\u00e1s alapj\u00e1n <strong>minden 2.5.1-es vagy ann\u00e1l r\u00e9gebbi verzi\u00f3t<\/strong> \u00e9rint. A jav\u00edt\u00e1s a b\u0151v\u00edtm\u00e9ny <strong>2.5.2-es<\/strong> kiad\u00e1s\u00e1ban \u00e9rhet\u0151 el. A cikkben v\u00e9gigvessz\u00fck, mi t\u00f6rt\u00e9nik technikailag, mi\u00e9rt k\u00fcl\u00f6n\u00f6sen vesz\u00e9lyes, \u00e9s milyen ellen\u0151rz\u00e9seket \u00e9rdemes azonnal lefuttatni.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Mi\u00e9rt ekkora gond ez a CVE-2026-23550?<\/h2>\n\n\n\n<p>A klasszikus WordPress-es incidensek nagy r\u00e9sze valamilyen jogosults\u00e1gi hib\u00e1ra vezethet\u0151 vissza, de itt nem \u201ecsak\u201d arr\u00f3l van sz\u00f3, hogy egy bejelentkezett felhaszn\u00e1l\u00f3 t\u00f6bbet tud a kellet\u00e9n\u00e9l. A Patchstack \u00e9rt\u00e9kel\u00e9se szerint a Modular DS eset\u00e9ben <strong>unauthenticated privilege escalation<\/strong> t\u00f6rt\u00e9nik: a t\u00e1mad\u00f3nak nem kell felhaszn\u00e1l\u00f3i fi\u00f3k, m\u00e9gis eljuthat admin szerepk\u00f6rig.<\/p>\n\n\n\n<p>Ez az\u00e9rt kritikus, mert admin hozz\u00e1f\u00e9r\u00e9ssel tipikusan m\u00e1r teljes az \u00fat a kompromitt\u00e1l\u00e1sig: rosszindulat\u00fa b\u0151v\u00edtm\u00e9ny telep\u00edt\u00e9se, k\u00e1rt\u00e9kony k\u00f3d beilleszt\u00e9se, \u00e1tir\u00e1ny\u00edt\u00e1s adathal\u00e1sz oldalakra, vagy ak\u00e1r a felhaszn\u00e1l\u00f3k adatainak megszerz\u00e9se is re\u00e1lis forgat\u00f3k\u00f6nyv.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">A sebezhet\u0151s\u00e9g technikai h\u00e1ttere \u2013 r\u00f6viden, fejleszt\u0151i szemmel<\/h2>\n\n\n\n<p>A Modular DS a saj\u00e1t \u00fatvonalait (route-jait) az <strong><code>\/api\/modular-connector\/<\/code><\/strong> prefix alatt publik\u00e1lja. Norm\u00e1l esetben a b\u0151v\u00edtm\u00e9ny routing r\u00e9tege \u00fagy van kital\u00e1lva, hogy az \u00e9rz\u00e9keny v\u00e9gpontok (endpointok) csak egy hiteles\u00edt\u00e9si (auth) v\u00e9d\u0151r\u00e9tegen kereszt\u00fcl legyenek el\u00e9rhet\u0151k.<\/p>\n\n\n\n<p>A gond ott kezd\u0151dik, hogy van egy \u201edirect request\u201d m\u00f3d, amit a Patchstack szerint <strong>param\u00e9terekkel ki lehet k\u00e9nyszer\u00edteni<\/strong>. Ha a k\u00e9r\u00e9sben az <code>origin<\/code> param\u00e9ter \u00e9rt\u00e9ke <code>mo<\/code>, a <code>type<\/code> pedig b\u00e1rmilyen \u00e9rt\u00e9k, a plugin a k\u00e9r\u00e9st Modular-f\u00e9le k\u00f6zvetlen k\u00e9r\u00e9sk\u00e9nt (direct request) kezeli, \u00e9s ezzel a v\u00e9delmi r\u00e9teg megker\u00fclhet\u0151.<\/p>\n\n\n\n<div class=\"wp-block-group callout callout-warning is-style-warning is-layout-flow wp-block-group-is-layout-flow\" style=\"border-width:1px;border-radius:8px;padding-top:1rem;padding-right:1.5rem;padding-bottom:1rem;padding-left:1.5rem\">\n\n<h4 class=\"wp-block-heading callout-title\">A kritikus tervez\u00e9si probl\u00e9ma<\/h4>\n\n\n<p>A Patchstack le\u00edr\u00e1sa szerint nincs kriptogr\u00e1fiai k\u00f6t\u00e9s ak\u00f6z\u00f6tt, hogy a bej\u00f6v\u0151 k\u00e9r\u00e9s t\u00e9nyleg a Modular rendszert\u0151l j\u00f6n-e, \u00e9s ak\u00f6z\u00f6tt, hogy a site kor\u00e1bban \u00f6ssze lett-e k\u00f6tve (tokenek jelen vannak \/ meg\u00faj\u00edthat\u00f3k). Ha a kapcsolat m\u00e1r \u201e\u00e9l\u201d, a middleware \u00e1tugorhat\u00f3.<\/p>\n\n<\/div>\n\n\n\n<p>A c\u00e9g kiemeli, hogy ez nem egyetlen apr\u00f3 \u201eif\u201d hiba k\u00f6vetkezm\u00e9nye, hanem t\u00f6bb d\u00f6nt\u00e9s egy\u00fctt \u00e1llt \u00f6ssze egy vesz\u00e9lyes l\u00e1ncc\u00e1: URL-alap\u00fa route illeszt\u00e9s, t\u00fal enged\u00e9keny direct request m\u00f3d, a hiteles\u00edt\u00e9s logik\u00e1ja, valamint egy olyan bejelentkeztet\u00e9si folyamat, ami admin felhaszn\u00e1l\u00f3ig tud visszaesni (auto-login).<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Mely v\u00e9gpontok \u00e9rintettek, \u00e9s mi\u00e9rt vesz\u00e9lyesek?<\/h2>\n\n\n\n<p>A Patchstack szerint a bypass t\u00f6bb route-ot is kinyithat, t\u00f6bbek k\u00f6z\u00f6tt:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li><code>\/login\/<\/code> \u2013 t\u00e1voli bejelentkez\u00e9si folyamatokhoz kapcsol\u00f3dik, \u00e9s ezen kereszt\u00fcl j\u00f6het az admin hozz\u00e1f\u00e9r\u00e9s<\/li>\n\n\n<li><code>\/server-information\/<\/code> \u2013 rendszer- \u00e9s k\u00f6rnyezeti inform\u00e1ci\u00f3k kisziv\u00e1rg\u00e1s\u00e1hoz vezethet<\/li>\n\n\n<li><code>\/manager\/<\/code> \u2013 menedzsment jelleg\u0171 m\u0171veletekhez adhat hozz\u00e1f\u00e9r\u00e9st<\/li>\n\n\n<li><code>\/backup\/<\/code> \u2013 \u00e9rz\u00e9keny adatokhoz vagy ment\u00e9si folyamatokhoz kapcsol\u00f3d\u00f3 funkci\u00f3kat \u00e9rinthet<\/li>\n\n<\/ul>\n\n\n\n<p>A legs\u00falyosabb forgat\u00f3k\u00f6nyv a le\u00edr\u00e1s alapj\u00e1n az, hogy a t\u00e1mad\u00f3 a <strong><code>\/api\/modular-connector\/login\/{modular_request}<\/code><\/strong> \u00fatvonalat kihaszn\u00e1lva admin jogosults\u00e1got szerez, majd ezen a ponton m\u00e1r \u201ehagyom\u00e1nyos\u201d WordPress-es m\u00f3dszerekkel teljesen \u00e1t tudja venni az ir\u00e1ny\u00edt\u00e1st.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Mit l\u00e1tni az akt\u00edv t\u00e1mad\u00e1sokb\u00f3l?<\/h2>\n\n\n\n<p>A Patchstack azt \u00edrja, hogy a kihaszn\u00e1l\u00e1si k\u00eds\u00e9rleteket <strong>2026. janu\u00e1r 13-\u00e1n<\/strong> \u00e9szlelt\u00e9k el\u0151sz\u00f6r, nagyj\u00e1b\u00f3l <strong>02:00 UTC<\/strong> k\u00f6r\u00fcl. A minta szerint HTTP GET k\u00e9r\u00e9sek \u00e9rkeztek a <strong><code>\/api\/modular-connector\/login\/<\/code><\/strong> v\u00e9gpontra, majd ezt admin felhaszn\u00e1l\u00f3 l\u00e9trehoz\u00e1s\u00e1ra ir\u00e1nyul\u00f3 pr\u00f3b\u00e1lkoz\u00e1sok k\u00f6vett\u00e9k.<\/p>\n\n\n\n<p>A k\u00f6z\u00f6lt inform\u00e1ci\u00f3k alapj\u00e1n a forgalom az al\u00e1bbi IP-c\u00edmekr\u0151l is \u00e9rkezett (indik\u00e1tork\u00e9nt\/IOC-k\u00e9nt \u00e9rdemes kezelni \u0151ket, de \u00f6nmagukban nem jelentenek teljes lefedetts\u00e9get):<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li>45.11.89[.]19<\/li>\n\n\n<li>185.196.0[.]11<\/li>\n\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Teend\u0151k: friss\u00edt\u00e9s, ellen\u0151rz\u00e9s, k\u00e1renyh\u00edt\u00e9s<\/h2>\n\n\n\n<p>Mivel a sebezhet\u0151s\u00e9g akt\u00edv kihaszn\u00e1l\u00e1s alatt \u00e1ll, a legfontosabb l\u00e9p\u00e9s a <strong>Modular DS friss\u00edt\u00e9se 2.5.2-es verzi\u00f3ra<\/strong> (vagy \u00fajabbra, ha m\u00e1r el\u00e9rhet\u0151). Ez az a pont, ahol nem \u00e9rdemes \u201emajd holnap\u201d alapon kezelni a dolgot.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1) Friss\u00edts azonnal a jav\u00edtott verzi\u00f3ra<\/h3>\n\n\n\n<p>Ellen\u0151rizd a b\u0151v\u00edtm\u00e9ny verzi\u00f3j\u00e1t, \u00e9s ha <strong>2.5.1 vagy r\u00e9gebbi<\/strong>, friss\u00edts. A gy\u00e1rt\u00f3i security release itt \u00e9rhet\u0151 el: <a href=\"https:\/\/help.modulards.com\/en\/article\/modular-ds-security-release-modular-connector-252-dm3mv0\/\">Modular DS security release \u2013 Modular Connector 2.5.2<\/a>.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">2) N\u00e9zd \u00e1t a kompromitt\u00e1l\u00e1s jeleit<\/h3>\n\n\n\n<p>A Modular DS javaslata szerint \u00e9rdemes c\u00e9lzottan keresni a tipikus nyomokat: v\u00e1ratlan admin felhaszn\u00e1l\u00f3k, gyan\u00fas automatiz\u00e1lt k\u00e9r\u00e9sek a Modular endpointokra, illetve szokatlan v\u00e1ltoz\u00e1sok b\u0151v\u00edtm\u00e9nyekben\/f\u00e1jlokban.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n\n<li>Ellen\u0151rizd a felhaszn\u00e1l\u00f3kat: van-e ismeretlen admin (k\u00fcl\u00f6n\u00f6sen friss d\u00e1tummal).<\/li>\n\n\n<li>N\u00e9zd \u00e1t a webszerver napl\u00f3kat (access log): el\u0151fordul-e sok k\u00e9r\u00e9s a <code>\/api\/modular-connector\/login\/<\/code> k\u00f6rny\u00e9k\u00e9re.<\/li>\n\n\n<li>Vizsg\u00e1ld \u00e1t a telep\u00edtett b\u0151v\u00edtm\u00e9nyeket \u00e9s a <code>wp-content<\/code> alatti f\u00e1jlokat v\u00e1ratlan m\u00f3dos\u00edt\u00e1sokra.<\/li>\n\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">3) Ha gyan\u00fas jelet tal\u00e1lsz, \u00e9rv\u00e9nytelen\u00edts mindent, ami munkamenet vagy token<\/h3>\n\n\n\n<p>A forr\u00e1s alapj\u00e1n az aj\u00e1nlott l\u00e9p\u00e9sek kompromitt\u00e1l\u00e1s eset\u00e9n:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n\n<li>WordPress salts \u00fajragener\u00e1l\u00e1sa (minden megl\u00e9v\u0151 session \u00e9rv\u00e9nytelen\u00edt\u00e9s\u00e9hez).<\/li>\n\n\n<li>OAuth hiteles\u00edt\u0151 adatok \u00fajragener\u00e1l\u00e1sa.<\/li>\n\n\n<li>K\u00e1rt\u00e9kony b\u0151v\u00edtm\u00e9nyek\/f\u00e1jlok\/k\u00f3dr\u00e9szletek keres\u00e9se (malware scan).<\/li>\n\n<\/ol>\n\n\n\n<div class=\"wp-block-group callout callout-info is-style-info is-layout-flow wp-block-group-is-layout-flow\" style=\"border-width:1px;border-radius:8px;padding-top:1rem;padding-right:1.5rem;padding-bottom:1rem;padding-left:1.5rem\">\n\n<h4 class=\"wp-block-heading callout-title\">Fontos megjegyz\u00e9s a routing r\u00e9tegr\u0151l<\/h4>\n\n\n<p>A b\u0151v\u00edtm\u00e9ny k\u00e9sz\u00edt\u0151i szerint a sebezhet\u0151s\u00e9g egy egyedi routing r\u00e9tegben volt, ami a Laravel route matching mechanizmus\u00e1ra \u00e9p\u00fclt. A route illeszt\u00e9s t\u00fal enged\u00e9keny volt, \u00edgy megfelel\u0151en \u201emegform\u00e1zott\u201d k\u00e9r\u00e9sek v\u00e9dett v\u00e9gpontokra tudtak illeszkedni val\u00f3di auth ellen\u0151rz\u00e9s n\u00e9lk\u00fcl.<\/p>\n\n<\/div>\n\n\n\n<h2 class=\"wp-block-heading\">Mit \u00e9rdemes ebb\u0151l \u00e1ltal\u00e1nos tanuls\u00e1gk\u00e9nt levonni?<\/h2>\n\n\n\n<p>A t\u00f6rt\u00e9net nagyon j\u00f3l r\u00e1mutat egy gyakori anti-patternre: amikor egy \u201ebels\u0151\u201d integr\u00e1ci\u00f3s \u00fatvonal (p\u00e9ld\u00e1ul egy connector API) val\u00f3j\u00e1ban kint van a nyilv\u00e1nos interneten, \u00e9s a v\u00e9delem r\u00e9szben felt\u00e9telez\u00e9sekre \u00e9p\u00edt (p\u00e9ld\u00e1ul \u201eha a site \u00f6ssze van k\u00f6tve, akkor biztos j\u00f3 helyr\u0151l j\u00f6n a k\u00e9r\u00e9s\u201d). Ilyenkor egy param\u00e9terezhet\u0151 m\u00f3d (mint a direct request) k\u00f6nnyen \u00fagy viselkedik, mint egy univerz\u00e1lis bypass.<\/p>\n\n\n\n<p>Ha Modular DS-t haszn\u00e1lsz, most a gyors friss\u00edt\u00e9s \u00e9s a kompromitt\u00e1lts\u00e1g ellen\u0151rz\u00e9se a k\u00e9t legfontosabb l\u00e9p\u00e9s.<\/p>\n\n\n<div class=\"references-section\">\n                <h2>Hivatkoz\u00e1sok \/ Forr\u00e1sok<\/h2>\n                <ul class=\"references-list\"><li><a href=\"https:\/\/thehackernews.com\/2026\/01\/critical-wordpress-modular-ds-plugin.html\" target=\"_blank\" rel=\"noopener noreferrer\">Critical WordPress Modular DS Plugin Flaw Actively Exploited to Gain Admin Access<\/a><\/li><li><a href=\"https:\/\/patchstack.com\/articles\/critical-privilege-escalation-vulnerability-in-modular-ds-plugin-affecting-40k-sites-exploited-in-the-wild\/\" target=\"_blank\" rel=\"noopener noreferrer\">Critical Privilege Escalation Vulnerability in Modular DS Plugin Affecting 40K+ Sites Exploited in the Wild<\/a><\/li><li><a href=\"https:\/\/help.modulards.com\/en\/article\/modular-ds-security-release-modular-connector-252-dm3mv0\/\" target=\"_blank\" rel=\"noopener noreferrer\">Modular DS security release \u2013 Modular Connector 2.5.2<\/a><\/li><\/ul>\n            <\/div>","protected":false},"excerpt":{"rendered":"<p>Ha Modular DS fut a WordPress-es oldaladon, most \u00e9rdemes azonnal r\u00e1n\u00e9zni a verzi\u00f3ra: egy CVSS 10.0-s hiba akt\u00edv kihaszn\u00e1l\u00e1s alatt \u00e1ll, \u00e9s ak\u00e1r admin hozz\u00e1f\u00e9r\u00e9sig is eljuthatnak vele.<\/p>\n","protected":false},"author":5,"featured_media":208,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9],"tags":[69,93,94,17,10],"class_list":["post-209","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-biztonsag","tag-biztonsag","tag-cve-2026-23550","tag-patchstack","tag-sebezhetoseg","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/posts\/209","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/comments?post=209"}],"version-history":[{"count":1,"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/posts\/209\/revisions"}],"predecessor-version":[{"id":248,"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/posts\/209\/revisions\/248"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/media\/208"}],"wp:attachment":[{"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/media?parent=209"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/categories?post=209"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/helloblog.io\/hu\/wp-json\/wp\/v2\/tags?post=209"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}