Просто добавь «origin=mo». Хакеры нашли самый ленивый способ взломать более 40000 сайтов на WordPress
NewsMakerУязвимость в Modular DS позволяет получить права администратора сайта без прохождения аутентификации.
Критическая уязвимость была обнаружена в популярном плагине WordPress Modular DS и уже активно используется злоумышленниками в реальных атаках. Об этом сообщила компания Patchstack.
Проблема получила идентификатор CVE-2026-23550 и оценку 10.0 по шкале CVSS. Уязвимость позволяет удаленному атакующему без какой-либо аутентификации получить права администратора сайта. Она затрагивает все версии плагина до 2.5.1 включительно и была устранена в версии 2.5.2. Modular DS установлен более чем на 40 000 сайтов.
Как поясняют специалисты, в уязвимых версиях плагина присутствует сразу несколько опасных архитектурных решений. В совокупности они позволяют обходить механизмы аутентификации и автоматически входить в систему под учетной записью администратора. Ключевая роль в этом играет система маршрутизации, которая должна ограничивать доступ к чувствительным функциям, но на практике легко обходится.
Все API-маршруты плагина доступны по пути /api/modular-connector/. Защитный слой можно отключить, если отправить запрос с параметрами origin=mo и type с любым значением. В таком случае запрос считается внутренним и проходит без проверки подлинности. При этом между входящим запросом и реальным сервисом Modular отсутствует какая-либо криптографическая проверка, что делает обход защиты тривиальным.
Критическая уязвимость была обнаружена в популярном плагине WordPress Modular DS и уже активно используется злоумышленниками в реальных атаках. Об этом сообщила компания Patchstack.
Проблема получила идентификатор CVE-2026-23550 и оценку 10.0 по шкале CVSS. Уязвимость позволяет удаленному атакующему без какой-либо аутентификации получить права администратора сайта. Она затрагивает все версии плагина до 2.5.1 включительно и была устранена в версии 2.5.2. Modular DS установлен более чем на 40 000 сайтов.
Как поясняют специалисты, в уязвимых версиях плагина присутствует сразу несколько опасных архитектурных решений. В совокупности они позволяют обходить механизмы аутентификации и автоматически входить в систему под учетной записью администратора. Ключевая роль в этом играет система маршрутизации, которая должна ограничивать доступ к чувствительным функциям, но на практике легко обходится.
Все API-маршруты плагина доступны по пути /api/modular-connector/. Защитный слой можно отключить, если отправить запрос с параметрами origin=mo и type с любым значением. В таком случае запрос считается внутренним и проходит без проверки подлинности. При этом между входящим запросом и реальным сервисом Modular отсутствует какая-либо криптографическая проверка, что делает обход защиты тривиальным.