sangsenimanwartefak/cve-2026-23550Exploit em Bash para CVE-2026-23550 que aciona o login de administrador do WordPress sem autenticação por meio de uma solicitação REST API manipulada ao endpoint /api/modular-connector/login do Modular Connector.
Login de Administrador WordPress Não Autenticado via Parâmetro origin=mo
Plugin Modular Connector ≤ 2.5.1
O plugin Modular Connector para WordPress (versões ≤ 2.5.1) contém uma vulnerabilidade crítica de bypass de autenticação. Um atacante não autenticado pode enviar uma requisição POST personalizada para o endpoint da API REST /api/modular-connector/login com o parâmetro JSON . Isso faz com que o plugin emita um cookie de sessão de administrador válido do WordPress, concedendo acesso administrativo total ao site.
{"origin":"mo"}Pontuação CVSS: 9.8 (Crítica)
CWE: CWE-287 (Autenticação Incorreta)
Vetor de Ataque: Rede | Complexidade: Baixa | Privilégios: Nenhum
| Plugin | Versões Vulneráveis |
|---|---|
| Modular Connector (por ModularWP) | ≤ 2.5.1 |
Observação: Esta vulnerabilidade foi designada como CVE-2026-23550. Nenhum patch oficial foi lançado até a data da divulgação.
chmod +x CVE-2026-23550.sh
./exploit.sh http://target.com