Zafiyet, eklentinin /api/modular-connector/ altında yer alan routing mekanizmasındaki tasarım hatalarından kaynaklanıyor. Direct request modunda, saldırgan origin=mo&type=xyz parametreleri kullanarak kimlik doğrulamayı atlayabiliyor. Bu bypass, /login/, /server-information/, /manager/, /backup/ gibi hassas routeları açarak admin erişimine ve tam site kompromizasyonuna yol açıyor.
Patchstackin verilerine göre ilk saldırılar 13 Ocak 2026 02:00 UTC civarında tespit edildi ve saldırganlar /login/ endpointine GET talebi gönderip admin kullanıcı oluşturmayı denedi. Aktivite aşağıdaki IPlerden geldi:
- 45.11.89[.]19
- 185.196.0[.]11
Riskler:
- Admin hesabı oluşturma / takeover
- Dosya / yapılandırma değişikliği
- Malware yerleştirme
- Phishing / redirect kampanyaları
Öneriler:
✔ Eklentiyi 2.5.2 veya üzeri sürüme güncelle
✔ Eklentinin aktif kullanılıp kullanılmadığını kontrol et
✔ Şüpheli admin veya kullanıcı hesaplarını incele
✔ Web sunucu loglarını kontrol et
Patchstack, olayın tek bir bugdan değil, birden fazla tasarım kararının birleşiminden oluştuğunu ve eklentinin implicit trust yaklaşımının risk doğurduğunu vurguladı.
