Patchstack,
Modular DS WordPress eklentisinde aktif olarak istismar edilen kritik bir güvenlik açığı (
CVE-2026-23550, CVSS 10.0) tespit etti. Zafiyet, 2.5.1 ve altı sürümlerde
yetkisiz privilege escalation ile sitenin
admin seviyesinde ele geçirilmesine izin veriyor. Sorun
2.5.2 sürümüyle giderildi. Eklenti 40.000den fazla aktif kuruluma sahip.
Zafiyet, eklentinin /api/modular-connector/ altında yer alan routing mekanizmasındaki tasarım hatalarından kaynaklanıyor. Direct request modunda, saldırgan origin=mo&type=xyz parametreleri kullanarak
kimlik doğrulamayı atlayabiliyor. Bu bypass, /login/, /server-information/, /manager/, /backup/ gibi hassas routeları açarak admin erişimine ve tam site kompromizasyonuna yol açıyor.
Patchstackin verilerine göre ilk saldırılar
13 Ocak 2026 02:00 UTC civarında tespit edildi ve saldırganlar /login/ endpointine GET talebi gönderip admin kullanıcı oluşturmayı denedi. Aktivite aşağıdaki IPlerden geldi:
- 45.11.89[.]19
- 185.196.0[.]11
Riskler: - Admin hesabı oluşturma / takeover
- Dosya / yapılandırma değişikliği
- Malware yerleştirme
- Phishing / redirect kampanyaları
Öneriler:
✔ Eklentiyi
2.5.2 veya üzeri sürüme güncelle
✔ Eklentinin aktif kullanılıp kullanılmadığını kontrol et
✔ Şüpheli admin veya kullanıcı hesaplarını incele
✔ Web sunucu loglarını kontrol et
Patchstack, olayın tek bir bugdan değil, birden fazla tasarım kararının birleşiminden oluştuğunu ve eklentinin
implicit trust yaklaşımının risk doğurduğunu vurguladı.