黑客利用 Modular DS WordPress 插件漏洞获取管理员权限

黑客正在积极利用 Modular DS WordPress 插件中的一个最高级别漏洞，该漏洞允许他们远程绕过身份验证，并以管理员级别的权限访问易受攻击的网站。

该漏洞编号为CVE-2026-23550，影响 Modular DS 的 2.5.1 及更早版本。Modular DS 是一款管理插件，允许从单个界面管理多个 WordPress 站点。

该插件允许网站所有者、开发者或托管服务提供商远程监控网站、执行更新、管理用户、访问服务器信息、运行维护任务以及登录。Modular DS 的安装量已超过 4 万次。

据 Patchstack 研究人员称，CVE-2026-23550 目前已被恶意利用，首次攻击于 1 月 13 日 UTC 时间 02:00 左右被检测到。

Patchstack 确认了该漏洞，并在第二天联系了供应商。Modular DS在几个小时后发布了 2.5.2 版本修复程序。

该漏洞是由一系列设计和实现缺陷造成的，包括在启用“直接请求”模式时，未对请求来源进行加密验证就将其视为可信请求。这种行为会暴露多个敏感路由，并触发自动管理员登录回退机制。

如果请求正文中没有提供特定的用户 ID，则插件会获取现有的管理员或超级管理员用户，然后自动以该用户身份登录。

Patchstack解释说：“在控制器src/app/Http/Controllers/AuthController.php中，getLogin(SiteRequest $modularRequest)方法中，代码尝试从$modularRequest的主体中读取用户ID。”

研究人员表示：“由于前面解释过的漏洞，未经身份验证的用户也可以访问这段代码，这可以立即提升权限。”



Modular DS 2.5.2 版本中的补丁移除了基于 URL 的路由匹配。现在它完全由经过验证的过滤逻辑驱动，添加了默认的 404 路由，仅识别路由绑定的“type”值，并包含针对无法识别的请求的安全故障模式。

建议 Modular DS 用户尽快升级到 2.5.2 或更高版本。

在一份安全公告中，供应商建议用户查看服务器访问日志中是否存在可疑请求，检查管理员用户是否存在恶意添加，并在更新到最新版本后重新生成所有 WordPress salts。