PT-2026-2847
CVE-2026-23550
·
تاريخ النشر
2026-01-14
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Modular DS حتى الإصدار 2.5.1
الوصف
توجد ثغرة أمنية خطيرة في المكون الإضافي Modular DS الخاص بـ WordPress تتيح للمهاجمين غير المصادق عليهم الحصول على صلاحيات إدارية للمواقع المتأثرة. ترجع هذه الثغرة، التي تم تتبعها تحت الرمز CVE-2026-23550، إلى آلية تحكم في الوصول معطلة، ناتجة عن منطق توجيه ومصادقة غير صحيحين. وعلى وجه التحديد، فإن معالجة المكون الإضافي لوضع «الطلب المباشر» تسمح للمهاجمين بالتحايل على التحقق التشفيري والوصول إلى مسارات حساسة، مثل
/api/modular-connector/، مما يؤدي إلى إصدار ملفات تعريف ارتباط جلسة عمل المسؤول دون مصادقة مناسبة. وهذا يسمح للمهاجمين بتسجيل الدخول كمسؤولين، ومن المحتمل أن يستولوا على السيطرة الكاملة على الموقع، بما في ذلك القدرة على إنشاء مستخدمين مسؤولين جدد، وإدخال مكونات إضافية ضارة، وسرقة البيانات، أو إتلاف الموقع. ويجري استغلال هذه الثغرة الأمنية بشكل نشط في الواقع، حيث لوحظت محاولات الاستغلال لأول مرة في 13 يناير 2026. تشير التقديرات إلى أن أكثر من 40,000 تثبيت لـ WordPress معرضة للخطر. يتم استغلال الثغرة الأمنية عن طريق التلاعب بمعلمات عناوين URL، مما يؤدي فعليًّا إلى تجاوز حاجز المصادقة. المكون المعرض للخطر هو منطق التوجيه داخل المكون الإضافي، وتحديدًا الدالة isDirectRequest().التوصيات
قم بتحديث Modular DS إلى الإصدار 2.5.2 أو أحدث.
أعد إنشاء ملح ووردبريس بعد التحديث
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾