Kritická chyba v plugine Modular DS pre WordPress sa zneužíva: útok vedie až k admin prístupu

Vo WordPress ekosystéme sa objavila nepríjemná kombinácia: kritická zraniteľnosť (CVE-2026-23550, CVSS 10.0) v plugine Modular DS a zároveň potvrdené aktívne zneužívanie v praxi. Podľa Patchstacku ide o neautentifikovanú eskaláciu oprávnení, ktorá môže útočníkovi otvoriť cestu k administrátorskému účtu a následne ku kompletnej kompromitácii webu.

Zasiahnuté sú všetky verzie do 2.5.1 vrátane. Oprava je dostupná vo verzii 2.5.2. Keďže plugin má vyše 40 000 aktívnych inštalácií, ide o typ incidentu, ktorý sa vie rozšíriť veľmi rýchlo.

Čo presne je problém (bez zbytočnej teórie)

Zraniteľnosť je opísaná ako unauthenticated privilege escalation – teda útočník nepotrebuje platné prihlasovacie údaje. Kľúčová slabina je v tom, ako plugin rieši routing (smerovanie požiadaviek) pre vlastné API endpointy.

Modular DS vystavuje API trasy pod prefixom "/api/modular-connector/". Návrh počítal s tým, že citlivé trasy budú „za“ autentifikačnou bariérou (middleware). Patchstack však uvádza, že túto vrstvu je možné obísť vždy, keď je aktivovaný režim direct request – stačí pridať parametre origin=mo a type= (napr. origin=mo&type=xxx). Požiadavka sa potom správa ako „Modular direct request“.

Dôležitý detail pre riziko

Podľa Patchstacku sa obídenie autentifikácie stáva reálne zneužiteľným v momente, keď je web už prepojený so službou Modular (t. j. tokeny existujú / dajú sa obnoviť). Inak povedané: ochrana sa opiera o stav prepojenia webu, nie o kryptografickú väzbu konkrétnej požiadavky na Modular.

Aké endpointy sa tým odomykajú

Po obídení ochrannej vrstvy sa podľa analýzy otvára viacero trás, ktoré vedia robiť citlivé veci – od prístupu k informáciám až po vzdialené prihlásenie. Patchstack menovite spomína tieto cesty:

/login/ – kritická v praxi, vedie k vzdialenému prihláseniu
/server-information/ – môže odhaliť citlivé informácie o systéme
/manager/ – rozhranie na správu (riziko závisí od konkrétnych akcií)
/backup/ – potenciálne prístup k zálohám alebo operáciám okolo nich

Najhorší scenár je zneužitie trasy "/login/{modular_request}", cez ktorú sa útočník dostane k administrátorským právam. Keď má niekto admina, je to už štandardná „plná kontrola“: úpravy obsahu, nahratie škodlivého kódu, zmena redirectov na podvody alebo vytvorenie ďalších zadných vrátok.

Čo vieme o útokoch v teréne

Patchstack uvádza, že prvé záchyty zneužívania boli pozorované 13. januára 2026 približne o 02:00 UTC. Vzor útoku mal zahŕňať HTTP GET volania na endpoint "/api/modular-connector/login/", po ktorých nasledovali pokusy vytvoriť nového admin používateľa.

Útoky mali podľa zverejnených detailov prichádzať aj z týchto IP adries (užitočné pre rýchle prehľadanie access logov):

45.11.89[.]19
185.196.0[.]11

Rýchla mitigácia: čo spraviť hneď

Aktualizuj Modular DS na 2.5.2 (alebo novšiu, ak je dostupná). Toto je priorita číslo jeden.
Skontroluj, či sa na webe neobjavili neočakávaní admin používatelia (nové účty, podozrivé e-maily, nezvyčajné mená).
Prejdi webserver logy (Nginx/Apache) a hľadaj požiadavky na "/api/modular-connector/" – najmä "/login/" a parametre origin=mo + type=.

Ak máš podozrenie na kompromitáciu: odporúčané kroky

Modular DS zároveň odporúča urobiť niekoľko krokov, ktoré pomôžu odrezať útočníka od existujúcich session a poverení a odhaliť škodlivé zmeny:

Zregenerovať WordPress salts (invaliduje existujúce session cookies).
Zregenerovať OAuth credentials (aby prestali platiť prípadne odcudzené/kompromitované údaje).
Preskenovať web na škodlivé pluginy, súbory alebo injektovaný kód (typicky do wp-content/plugins, wp-content/uploads a do aktívnej témy).

Prečo je to poučné aj mimo tohto konkrétneho pluginu

Patchstack to pomenoval presne: implicitná dôvera v „interné“ cesty je extrémne riziková v momente, keď sú endpointy dostupné z verejného internetu. Problém nevznikol jedným bugom, ale kombináciou rozhodnutí: URL-based route matching, príliš voľný direct request mód, autentifikácia založená len na stave prepojenia a login flow, ktorý vie spadnúť až na admin účet.

Technické pozadie: kde sa to pokazilo

Udržiavatelia pluginu uviedli, že zraniteľnosť bola v custom routing vrstve, ktorá rozširuje route matching z frameworku Laravel. Logika matchovania bola podľa nich príliš permisívna a umožnila zostaviť požiadavku tak, aby trafila chránený endpoint bez korektnej validácie autentifikácie.

Zhrnutie pre správcov WordPress webov

CVE-2026-23550 v Modular DS umožňuje neautentifikovanú eskaláciu práv až na admina.
Zasiahnuté sú verzie ≤ 2.5.1, oprava je v 2.5.2.
Zneužívanie bolo detegované v januári 2026; útočníci cielia endpointy pod "/api/modular-connector/".
Okrem update má zmysel prejsť admin účty, logy a pri podozrení zregenerovať salts + OAuth credentials a urobiť security scan.