sangsenimanwartefak/cve-2026-23550Exploit Bash pour CVE-2026-23550 qui déclenche une connexion administrateur WordPress non authentifiée via une requête REST API spécialement conçue vers l'endpoint /api/modular-connector/login de Modular Connector.
Connexion administrateur WordPress non authentifiée via le paramètre origin=mo
Plugin Modular Connector ≤ 2.5.1
Le plugin Modular Connector pour WordPress (versions ≤ 2.5.1) contient une vulnérabilité critique de contournement d'authentification. Un attaquant non authentifié peut envoyer une requête POST forgée au point de terminaison REST API /api/modular-connector/login avec le paramètre JSON {"origin":"mo"}. Cela déclenche la délivrance par le plugin d'un cookie de session administrateur WordPress valide, accordant un accès administratif complet au site.
Score CVSS : 9.8 (Critique)
CWE : CWE-287 (Authentification incorrecte)
Vecteur d'attaque : Réseau | Complexité : Faible | Privilèges : Aucun
| Plugin | Versions vulnérables |
|---|---|
| Modular Connector (par ModularWP) | ≤ 2.5.1 |
Remarque : Cette vulnérabilité a été identifiée sous le nom CVE-2026-23550. Aucun correctif officiel n'a été publié à la date de divulgation.
chmod +x CVE-2026-23550.sh
./exploit.sh http://target.com