严重 WordPress Modular DS 插件漏洞遭活跃利用以获取管理员权限

HackerNews 编译，转载请注明出处：

据Patchstack称，一款名为Modular DS的WordPress插件中一个严重性最高的安全漏洞正在野外被活跃利用。

该漏洞被追踪为CVE-2026-23550（CVSS评分：10.0），被描述为影响插件2.5.1及之前所有版本的未授权权限提升漏洞。该漏洞已在2.5.2版本中修复。该插件拥有超过40,000个有效安装。

"在2.5.1及以下版本中，由于直接路由选择、绕过身份验证机制以及自动以管理员身份登录等多种因素结合，该插件存在权限提升漏洞，" Patchstack表示。

问题根源在于其路由机制，该机制本应将某些敏感路由置于身份验证屏障之后。该插件将其路由暴露在/api/modular-connector/前缀下。

然而，研究发现，每当启用"直接请求"时，通过提供设置为"mo"的"origin"参数和设置为任意值（例如"origin=mo&type=xxx"）的"type"参数，即可绕过此安全层。这将导致请求被视作Modular直接请求。

"因此，一旦网站已连接到Modular（令牌存在/可续订），任何人都可以通过身份验证中间件：传入请求与Modular本身之间没有加密链接，" Patchstack解释道。

"这将暴露多个路由，包括/login/、/server-information/、/manager/和/backup/，这些路由允许执行从远程登录到获取敏感系统或用户数据等多种操作。"

由于此漏洞的存在，未经身份验证的攻击者可利用/login/{modular_request}路由获取管理员访问权限，从而导致权限提升。这可能为攻击者完全入侵网站铺平道路，使其能够引入恶意更改、植入恶意软件或将用户重定向到诈骗网站。

根据该WordPress安全公司分享的详细信息，利用该漏洞的攻击据称首次于2026年1月13日世界标准时间凌晨2点左右被检测到，攻击通过向端点/api/modular-connector/login/发起HTTP GET调用，随后尝试创建管理员用户。

攻击源自以下IP地址：

• 45.11.89[.]19
• 185.196.0[.]11

鉴于CVE-2026-23550正被活跃利用，建议插件用户尽快更新至已修复的版本。

"此漏洞突显了当暴露于公共互联网时，对内网请求路径的隐性信任可能有多么危险，" Patchstack指出。

"在此案例中，问题并非由单一错误引起，而是由多个设计选择共同导致：基于URL的路由匹配、宽松的'直接请求'模式、仅基于站点连接状态的身份验证，以及自动回退到管理员账户的登录流程。"

消息来源：thehackernews；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文