ثغرة حرجة في إضافة WordPress Modular DS تُستغل بنشاط… تحديث عاجل متاح
كشفت شركة Patchstack عن ثغرة أمنية بالغة الخطورة في إضافة WordPress Modular DS الخاصة بووردبريس، تُستغل حاليًا من قبل مهاجمين في الطبيعة.
الثغرة، المعروفة بالمعرّف CVE-2026-23550 وتقييم خطورة أقصى CVSS 10.0، تم تصنيفها كحالة تصعيد صلاحيات غير مصادق عليها (Unauthenticated Privilege Escalation)، وتؤثر على جميع إصدارات الإضافة حتى 2.5.1. وقد تم إصلاحها في الإصدار 2.5.2، بينما تُثبت الإضافة أكثر من 40 ألف موقع نشط.
طبيعة الثغرة
تتمحور المشكلة حول آلية التوجيه (Routing) للإضافة، المصممة لحماية بعض المسارات الحساسة خلف حاجز مصادقة. تقوم الإضافة بكشف مساراتها تحت البادئة:
لكن تم اكتشاف أن هذه الحماية يمكن تجاوزها عند تفعيل وضع “الطلب المباشر” (direct request) عن طريق إرسال باراميترين محددين:
هذا يؤدي إلى التعامل مع الطلب كـ Modular direct request، مما يسمح للمهاجم بتجاوز طبقة المصادقة بالكامل، خاصة إذا كان الموقع متصلًا مسبقًا بـ Modular (وجود رموز توكن قابلة للتجديد).
وبالتالي يمكن استهداف عدة مسارات حساسة، مثل:
مما يتيح للمهاجم تسجيل الدخول عن بُعد كمسؤول، وسرقة بيانات المستخدمين أو النظام، أو تنفيذ تغييرات ضارة، أو تحميل برامج خبيثة، أو إعادة توجيه الزوار لمواقع احتيالية.
رصد الهجمات
أول هجمات تم رصدها كانت في 13 يناير 2026، الساعة 2 صباحًا بتوقيت UTC، حيث نفذ المهاجمون طلبات HTTP GET إلى:
تلتها محاولات لإنشاء مستخدم مسؤول جديد. وقد تم رصد الهجمات من عناوين IP التالية:
توصيات Patchstack ومطوري الإضافة
تحديث الإضافة فورًا إلى الإصدار 2.5.2
فحص الموقع لاكتشاف أي مستخدمين إداريين غير متوقعين أو طلبات مشبوهة من روبوتات مسح
إعادة إنشاء WordPress salts لإبطال جميع الجلسات النشطة
إعادة إنشاء بيانات اعتماد OAuth
فحص الموقع للكشف عن أي ملفات، أو إضافات، أو أكواد خبيثة
وأكد مطورو Modular DS أن الثغرة نتجت عن تصميم مرن جدًا لطبقة التوجيه المخصصة، والتي تسمح للطلبات المصممة خصيصًا بمطابقة نقاط النهاية المحمية دون تحقق صحيح من المصادقة.
وقالت Patchstack:
“هذه الثغرة تبرز مدى خطورة الثقة الضمنية في المسارات الداخلية عند كشفها للإنترنت العام. المشكلة لم تنشأ من خطأ واحد، بل من مجموعة خيارات تصميمية مشتركة: مطابقة المسارات عبر URL، وضع ‘الطلب المباشر’ المتساهل، اعتماد المصادقة فقط على حالة اتصال الموقع، وتدفق تسجيل دخول يتيح fallback تلقائي للحساب الإداري.”
