CVE-2026-23550

Modular DS <=2.5.1 - बिना प्रमाणीकरण के एडमिन अधिग्रहण

CVE ID: CVE-2026-23550 CVSS स्कोर: 10.0 (क्रिटिकल) प्रभावित प्लगइन: Modular DS WordPress प्लगइन प्रभावित संस्करण: 2.5.1 तक के सभी संस्करण पैच किया गया संस्करण: 2.5.2 (14 जनवरी 2026 को जारी) सक्रिय शोषण: 13 जनवरी 2026 से वास्तविक दुनिया में पुष्टि की गई

यह प्लगइन अपने API रूट्स को /api/modular-connector/. प्रीफिक्स के अंतर्गत उजागर करता है। ये रूट्स RouteServiceProvider.php में प्रमाणीकरण मिडलवेयर के पीछे समूहीकृत हैं। हालाँकि, दोषपूर्ण isDirectRequest() विधि का उपयोग करके प्रमाणीकरण को बायपास किया जा सकता है।

HttpUtils.php से संवेदनशील कोड:

public static function isDirectRequest(): bool
{
    $request = \Modular\ConnectorDependencies\app('request');
    $userAgent = $request->header('User-Agent');
    $userAgentMatches = $userAgent && Str::is('ModularConnector/* (Linux)', $userAgent);
    $originQuery = $request->has('origin') && $request->get('origin') === 'mo';
    $isFromQuery = ($originQuery || $userAgentMatches) && $request->has('type');
    
    // When is wp-load.php request
    if ($isFromQuery) {
        return \true;
    }
    
    return \false;
}

बायपास का तरीका बहुत सरल है: बस अनुरोध में origin=mo&type=anything पैरामीटर शामिल करें। कोई हस्ताक्षर सत्यापन, रहस्य, IP, या अनिवार्य User-Agent नहीं है – ये पैरामीटर अकेले ही अनुरोध को Modular direct request मानने के लिए पर्याप्त हैं।

एक बार अनुरोध को "direct" मान लिए जाने पर, ModularGuard.php में प्रमाणीकरण मिडलवेयर केवल यह जाँचता है कि साइट validateOrRenewAccessToken() के माध्यम से Modular से जुड़ी है या नहीं। आने वाले अनुरोध और Modular के बीच कोई क्रिप्टोग्राफिक लिंक नहीं है।

खुले हुए रूट्स

प्रमाणीकरण को सफलतापूर्वक बायपास करने के बाद, हमलावर निम्न तक पहुँच सकता है:

/login/{modular_request} – दूरस्थ लॉगिन (एडमिन एक्सेस)

/server-information – संवेदनशील सिस्टम डेटा

/users/{modular_request} – उपयोगकर्ता गणना

/backup/* – साइट बैकअप

/cache/clear – कैश साफ़ करें

/manager/* – प्रबंधन कार्य

/woocommerce/{modular_request} – WooCommerce आँकड़े

सबसे महत्वपूर्ण लॉगिन रूट

public function getLogin(SiteRequest $modularRequest)
{
    $user = data_get($modularRequest->body, 'id');

    if (!empty($user)) {
        $user = get_user_by('id', $user);
    }

    if (empty($user)) {
        Cache::driver('wordpress')->forget('user.login');
        $user = ServerSetup::getAdminUser();  // FALLBACK KE ADMIN MANAPUN
    } else {
        Cache::driver('wordpress')->forever('user.login', $user->ID);
    }

    if (empty($user)) {
        throw new \Exception('No admin user detected.');
    }

    $cookies = ServerSetup::loginAs($user, true);  // AUTO-LOGIN

    return Response::redirectTo(admin_url('index.php'))
        ->withCookies($cookies);
}

यदि अनुरोध के बॉडी में कोई उपयोगकर्ता ID नहीं है, तो कोड किसी भी मौजूदा एडमिन (getAdminUser()) की खोज करेगा और सीधे लॉगिन करेगा।

लेखक: (Dedsec Team) विवरण: WordPress उपयोगकर्ता गणना और स्वचालित एडमिन खाता निर्माण के लिए एक शक्तिशाली bash स्क्रिप्ट। केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए बनाई गई है।

🚀 विशेषताएँ

• उपयोगकर्ता गणना – लेखक ID के माध्यम से चक्र लगाकर WordPress उपयोगकर्ता नाम खोजता है (/?author=1, /?author=2, आदि)
• Google Dork प्रदर्शन – संवेदनशील WordPress साइटें खोजने के लिए उपयोगी Google dorks दिखाता है (वैकल्पिक)
• शोषण मोड – लक्ष्य पर एक नया प्रशासनिक उपयोगकर्ता बनाने का प्रयास करता है (संवेदनशील प्लगइन/थीम या विशिष्ट CVE की आवश्यकता होती है)
• स्वच्छ आउटपुट – आसान पढ़ने के लिए रंग-कोडित कंसोल फीडबैक

📦 आवश्यकताएँ

• Bash 4+
• curl (HTTP अनुरोधों के लिए)
• base64 (यदि आप अस्पष्ट संस्करण का उपयोग कर रहे हैं, हेहे)

🔧 स्थापना

git clone https://github.com/DedsecTeam-BlackHat/CVE-2026-23550.git
cd CVE-2026-23550
chmod +x CVE-2026-23550.sh

उपयोग

./CVE-2026-23550.sh [options] <target_url>

1. लक्ष्य पर उपयोगकर्ताओं की गणना करें ./CVE-2026-23550.sh -e -t http://targetsite.com
2. गणना करें और फिर एक एडमिन उपयोगकर्ता बनाएँ ./CVE-2026-23550.sh -t http://targetsite.com -c -u dedsec_admin -p P@ssw0rd!
3. केवल Google dorks दिखाएँ ./CVE-2026-23550.sh -d