sangsenimanwartefak/cve-2026-23550Exploit Bash per CVE-2026-23550 che attiva l'accesso admin WordPress non autenticato tramite una richiesta REST API appositamente predisposta all'endpoint /api/modular-connector/login di Modular Connector.
Accesso amministrativo WordPress non autenticato tramite il parametro origin=mo
Plugin Modular Connector ≤ 2.5.1
Il plugin Modular Connector per WordPress (versioni ≤ 2.5.1) contiene una vulnerabilità critica di bypass dell'autenticazione. Un utente malintenzionato non autenticato può inviare una richiesta POST appositamente predisposta all'endpoint dell'API REST /api/modular-connector/login con il parametro JSON . Ciò induce il plugin a rilasciare un cookie di sessione valido per l'amministrazione di WordPress, concedendo pieno accesso amministrativo al sito.
{"origin":"mo"}Punteggio CVSS: 9.8 (Critico)
CWE: CWE-287 (Autenticazione impropria)
Vettore d'attacco: Rete | Complessità: Bassa | Privilegi: Nessuno
| Plugin | Versioni vulnerabili |
|---|---|
| Modular Connector (di ModularWP) | ≤ 2.5.1 |
Nota: A questa vulnerabilità è stato assegnato il codice CVE-2026-23550. Nessuna patch ufficiale è stata rilasciata alla data di divulgazione.
chmod +x CVE-2026-23550.sh
./exploit.sh http://target.com