يستغل المتسللون ثغرة البرنامج المساعد Modular DS WordPress للوصول إلى المشرف

يستغل المتسللون بشكل نشط ثغرة خطيرة للغاية في البرنامج الإضافي Modular DS WordPress الذي يسمح لهم بتجاوز المصادقة عن بعد والوصول إلى المواقع المعرضة للخطر بامتيازات على مستوى المسؤول.

الخلل، كما تم تعقبه”https://nvd.nist.gov/vuln/detail/CVE-2026-23550″ الهدف=”_blank” rel=”nofollow noopener”>CVE-2026-23550، يؤثر على الإصدارات 2.5.1 والإصدارات الأقدم من Modular DS، وهو مكون إضافي للإدارة يسمح بإدارة مواقع WordPress المتعددة من واجهة واحدة.

يتيح البرنامج الإضافي للمالكين أو المطورين أو موفري الاستضافة مراقبة المواقع عن بعد وإجراء التحديثات وإدارة المستخدمين والوصول إلى معلومات الخادم وتشغيل مهام الصيانة وتسجيل الدخول. يحتوي Modular DS على أكثر من 40.000 عملية تثبيت.

“https://www.bleepstatic.com/c/w/wiz/Securing-AI-Agents-970×250.png” البديل=”Wiz”>

وفقًا لباحثي Patchstack، يتم استغلال CVE-2026-23550 حاليًا في البرية، وتم اكتشاف الهجمات الأولى في 13 يناير، حوالي الساعة 02:00 بالتوقيت العالمي.

أكد Patchstack الخلل وتواصل مع البائع في اليوم التالي. وحدات DS”https://help.modulards.com/en/article/modular-ds-security-release-modular-connector-252-dm3mv0/” الهدف=”_blank” rel=”nofollow noopener”> تم إصدار إصلاح في الإصدار 2.5.2، بعد ساعات قليلة فقط.

ترجع الثغرة الأمنية إلى سلسلة من عيوب التصميم والتنفيذ، بما في ذلك قبول الطلبات باعتبارها موثوقة عند تنشيط وضع “الطلب المباشر”، دون التحقق من مصدرها. يكشف هذا السلوك عن عدة مسارات حساسة ويقوم بتنشيط آلية احتياطية لتسجيل دخول المسؤول تلقائيًا.

إذا لم يتم توفير معرف مستخدم محدد في نص الطلب، فسيجلب المكون الإضافي مستخدمًا إداريًا أو مستخدمًا متميزًا، ثم يقوم بتسجيل الدخول باسم هذا المستخدم تلقائيًا.

“في وحدة التحكم src/app/Http/Controllers/AuthController.php، الأسلوب getLogin(SiteRequest $modularRequest)، يحاول الكود قراءة معرف المستخدم من نص $modularRequest،””https://patchstack.com/articles/critical-privilege-escalation-vulnerability-in-modular-ds-plugin-affecting-40k-sites-exploited-in-the-wild/” الهدف=”_blank” rel=”nofollow noopener”> يشرح باتشستاك.

يقول الباحثون: “نظرًا لأنه يمكن للمستخدمين غير المصادقين الوصول إلى هذا الرمز بسبب الخلل الذي تم شرحه مسبقًا، فإنه يسمح بتصعيد الامتيازات بشكل فوري”.

أزال التصحيح الموجود في الإصدار 2.5.2 من Modular DS مطابقة المسار المستند إلى عنوان URL. أصبح الآن مدفوعًا بالكامل بمنطق التصفية الذي تم التحقق من صحته، وأضيف مسارًا افتراضيًا 404، ويتعرف فقط على قيم “النوع” لربط المسار، ويتضمن وضع فشل آمن للطلبات غير المعروفة.

يُنصح مستخدمو Modular DS بالترقية إلى الإصدار 2.5.2 أو إصدار أحدث في أقرب وقت ممكن.

في أ”https://help.modulards.com/en/article/modular-ds-security-release-modular-connector-252-dm3mv0/” الهدف=”_blank” rel=”nofollow noopener”> النشرة الأمنيةينصح البائع المستخدمين بمراجعة سجلات الوصول إلى الخادم للطلبات المشبوهة، والتحقق من المستخدمين الإداريين بحثًا عن الإضافات المارقة، وإعادة إنشاء جميع أملاح WordPress بعد التحديث إلى الإصدار الأحدث.