CVE-2026-23550 in WordPress-plugin Modular DS: actieve aanvallen via unauthenticated admin login

De WordPress-plugin Modular DS (ruim 40.000 actieve installs) is getroffen door een kwetsbaarheid met maximale impact: CVE-2026-23550 met CVSS 10.0. Volgens Patchstack wordt het lek momenteel actief misbruikt in het wild om zonder authenticatie admin-toegang te verkrijgen. Voor beheerders is dit er eentje die je niet op “later deze week” kunt schuiven.

Wat is er aan de hand?

Het gaat om een unauthenticated privilege escalation: een aanvaller hoeft niet ingelogd te zijn, maar kan toch acties uitvoeren die uiteindelijk tot administrator access leiden. Alle versies tot en met 2.5.1 zijn kwetsbaar; het issue is opgelost in Modular DS 2.5.2 via een security release van de makers.

De kern van het probleem zit in de manier waarop de plugin routes afhandelt onder het padprefix /api/modular-connector/. Daar hoort een beveiligingslaag (auth middleware) op te zitten voor gevoelige endpoints, maar die laag blijkt te omzeilen onder specifieke omstandigheden.

Hoe werkt de bypass (op hoog niveau)?

Patchstack beschrijft dat de plugin een “direct request”-modus kent. Als die modus effectief te triggeren is, worden requests anders behandeld en kan de authenticatiecontrole worden gepasseerd door parameters mee te geven zoals origin=mo en type=. Het cruciale punt: er zou een harde koppeling moeten zijn tussen een inkomend verzoek en het Modular-platform, maar volgens Patchstack ontbreekt die cryptografische binding.

Belangrijk detail

De omzeiling is vooral relevant zodra de site al gekoppeld is aan Modular (tokens aanwezig en/of te vernieuwen). In dat geval kan de auth middleware volgens Patchstack gepasseerd worden.

Welke routes komen daardoor onbedoeld open te staan?

Door de bypass worden meerdere gevoelige routes bereikbaar gemaakt. Patchstack noemt onder andere endpoints voor login en beheerinformatie. Voor een aanvaller is vooral de login-route interessant, omdat die kan leiden tot het verkrijgen van adminrechten.

/login/ (remote login / verkrijgen van toegang)
/server-information/ (mogelijke exposure van systeeminformatie)
/manager/ (beheerfuncties)
/backup/ (backup-gerelateerde acties en/of data)

De meest directe impact is dat een aanvaller via de route /api/modular-connector/login/ administrator access kan krijgen (privilege escalation). Vanaf daar is een volledige site-compromise realistisch: plugin/theme-wijzigingen, malware plaatsen, SEO-spam of redirects naar scams.

Actieve exploitatie: wat is er gezien?

Volgens Patchstack zijn aanvallen voor het eerst gedetecteerd op 13 januari 2026 rond 02:00 UTC. In de waarnemingen zaten HTTP GET-calls naar /api/modular-connector/login/, gevolgd door pogingen om een admin user aan te maken.

Patchstack noemt twee IP-adressen die in verband worden gebracht met aanvallen:

45.11.89[.]19
185.196.0[.]11

Interpretatie voor beheerders

Zie je requests naar /api/modular-connector/login/ in je logs, of admin-creaties op vreemde momenten? Behandel dat als een incident totdat je het tegendeel bewezen hebt.

Waarom dit soort bugs extra gevaarlijk is (design > ‘één foutje’)

Wat deze case interessant (en vervelend) maakt: het gaat niet om één simpele ‘if-statement’ die verkeerd staat. Patchstack omschrijft het als een combinatie van ontwerpkeuzes: route matching op URL-niveau, een permissieve direct-request flow, authenticatie die vooral kijkt naar de “connected state” van de site, en een login-flow die kan terugvallen op een administrator-account.

De pluginmaintainers geven daarnaast aan dat de kwetsbaarheid is gevonden in een custom routing layer die voortbouwt op Laravel’s route matching. Die route matching bleek te ruim, waardoor crafted requests protected endpoints konden raken zonder dat authenticatie degelijk gevalideerd werd.

Wat moet je nu doen als je Modular DS gebruikt?

Update direct naar Modular DS 2.5.2 (security fix voor CVE-2026-23550).
Controleer je WordPress-gebruikers: let op onverwachte admin accounts of recente wijzigingen in rollen.
Analyseer access logs op calls naar /api/modular-connector/ (met focus op login) en op geautomatiseerde scanpatronen.
Voer incidentmaatregelen uit als je compromise vermoedt: regenereer WordPress salts (alle sessies ongeldig), regenereer OAuth-credentials en scan op kwaadaardige plugins/bestanden/code.

Let op bij forensics

Alleen updaten is niet hetzelfde als ‘veilig zijn’ als er al misbruik is geweest. Als er een attacker-admin is aangemaakt, blijft die bestaan totdat je ‘m verwijdert en je herstelstappen doorloopt.

Kort samengevat

CVE-2026-23550 in Modular DS is een kritieke WordPress-kwetsbaarheid die actief wordt misbruikt om admin-toegang te verkrijgen via een bypass in de routing/auth-laag onder /api/modular-connector/. Draai je Modular DS, update dan zo snel mogelijk naar 2.5.2 en doe meteen een snelle compromise-check op users en logs.

Wat is er aan de hand?