Actualización de seguridad de Modular DS: Modular Connector 2.5.2

La versión 2.5.2 del plugin Modular DS Connector, publicada el 14 de enero de 2026, incluye una corrección de seguridad que soluciona una vulnerabilidad crítica detectada recientemente.

Es importante que compruebes que todas tus webs en las que tengas instalado el plugin estén utilizando esta versión y que completes las medidas y recomendaciones que detallamos a continuación.

Acciones recomendadas

Para proteger tus webs, sigue estos pasos.

1. Actualiza Modular Connector a la versión 2.5.2 (OBLIGATORIO)

Este paso es obligatorio.

Desde Modular DS:

• Comprueba si hay actualizaciones disponibles desde el panel de Modular DS.
• Si la actualización no aparece, haz clic en el botón “Recargar” del actualizador.
• Algunos sitios pueden tardar unos minutos en detectar la actualización. Las actualizaciones se están forzando progresivamente en todos los sitios.

Desde el panel de admin de WordPress:

• Ve a Plugins → Plugins instalados
• Busca la notificación de actualización de Modular Connector (si usas white label, busca el nombre personalizado que hayas configurado)
• Haz clic en “Actualizar”

Via WP-CLI:

• wp plugin update modular-connector

2. Revisa posibles indicadores de compromiso (MUY RECOMENDADO)

Una vez actualizado el plugin:

• Comprueba los registros de acceso del servidor en busca de solicitudes sospechosas, como peticiones procedentes de escáneres automatizados (por ejemplo: Python-urllib, curl o Go-http-client), los cuales pueden indicar intentos de explotación.
• Revisa los usuarios admin de WordPress. En algunos casos, las webs comprometidas pueden mostrar cuentas de administrador creadas recientemente con nombres o direcciones de correo electrónico genéricas (por ejemplo, emails que terminan en @example.com). Si detectas usuarios sospechosos o que no reconozcas, elimínalos inmediatamente y regenera todas las credenciales relevantes.

Si no detectas ninguna actividad sospechosa, lo más probable es que tu web no se haya visto afectada.

Si, por el contrario, ves cualquier comportamiento extraño (como solicitudes o cuentas de administrador sospechosas o cambios desconocidos), te recomendamos que completes las medidas de seguridad adicionales que detallamos a continuación.

Medidas adicionales recomendadas

1. Regenera las claves de seguridad de WordPress (salts) (MUY RECOMENDADO)

Las salts de WordPress son claves de seguridad que se utilizan para cifrar la información almacenada en las cookies. Regenerarlas invalidará las sesiones activas y ayuda a reducir el riesgo de accesos no autorizados.

Pasos:

1. Accede a https://api.wordpress.org/secret-key/1.1/salt/
2. Copia todos los valores generados
3. Abre el archivo wp-config.php
4. Localiza la sección “Authentication Unique Keys and Salts”

5. Sustituye las claves actuales por las nuevas
6. Guarda el archivo

Ejemplo:

define('AUTH_KEY', 'your-unique-phrase-here');

define('SECURE_AUTH_KEY', 'your-unique-phrase-here');

define('LOGGED_IN_KEY', 'your-unique-phrase-here');

define('NONCE_KEY', 'your-unique-phrase-here');

define('AUTH_SALT', 'your-unique-phrase-here');

define('SECURE_AUTH_SALT', 'your-unique-phrase-here');

define('LOGGED_IN_SALT', 'your-unique-phrase-here');

define('NONCE_SALT', 'your-unique-phrase-here');

2. Regenera las credenciales OAuth (RECOMENDADO)

Para reforzar la seguridad, regenera las credenciales OAuth y vuelve a conectar tus webs a Modular DS.

Pasos:

1. Accede a tu cuenta de Modular DS
2. Ve a tu web y abre “Ajustes del sitio”

3. Haz scroll hasta la sección de “Claves de conexión”
4. Haz clic en “Regenerar claves”

5. Reconecta tu web usando las nuevas credenciales

3. Analiza tus webs en busca de plugins o archivos maliciosos (MUY RECOMENDADO)

Analiza tus webs con una herramienta de seguridad o detección de malware (como Imunify u otras soluciones similares) para detectar plugins maliciosos, archivos sospechosos o código que se haya podido añadir a tus sitios sin autorización.

Detalles de la corrección de seguridad

Modular DS ha corregido un problema en el que el sistema interno de enrutado utilizaba una coincidencia de rutas demasiado permisiva. En determinadas circunstancias, esto podría haber permitido que atacantes no autenticados eludieran los controles de autenticación y obtuvieran permisos elevados en webs de WordPress que utilizan el plugin.

• Versiones afectadas: Modular Connector: all versions up to and including 2.5.1
• Versión corregida: 2.5.2
• Severidad (CVSS): 10.0 Critical (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
• CWE: CWE-284: Improper Access Control
• OWASP Top 10: A01:2021 \- Broken Access Control

Gracias a nuestro partner Patchstack por coordinar la publicación de esta vulnerabilidad.

Resumen técnico

La vulnerabilidad se encontraba en una capa de enrutado personalizada que amplía la funcionalidad de coincidencia de rutas de Laravel. La lógica utilizada permitía que solicitudes manipuladas coincidieran con endpoints protegidos sin una validación adecuada de autenticación.

Vector de ataque: Un atacante remoto no autenticado podía enviar solicitudes HTTP especialmente diseñadas a endpoints relacionados con el inicio de sesión, utilizando segmentos de ruta arbitrarios, eludiendo el middleware de autenticación y llegando potencialmente a obtener acceso administrativo.

Timeline

• 14 de enero de 2026, 08:04 UTC: Patchstack reporta la vulnerabilidad
• 14 de enero de 2026, 08:30 UTC: Publicación del aviso de seguridad
• 14 de enero de 2026, 09:26 UTC: Lanzamiento de la versión 2.5.2
• 14 de enero de 2026, 10:28 UTC: Patchstack confirma que la vulnerabilidad ha sido solucionada

Nuestro compromiso con la seguridad

Sentimos sinceramente las molestias que esta situación haya podido causar.

En cuanto tuvimos conocimiento de la vulnerabilidad, hemos trabajado de inmediato con Patchstack para entender qué había ocurrido, corregir el problema y publicar una actualización lo antes posible.

La seguridad es una prioridad en Modular DS. Nuestra infraestructura en la nube se somete a auditorías de seguridad periódicas. Más allá de esta actualización de seguridad, estamos analizando el incidente y estudiando medidas adicionales para reducir al máximo el riesgo de que algo así vuelva a suceder.

Referencias

• Patchstack Vulnerability Database
• CVE-2026-23550
• Modular Connector en WordPress.org
• WordPress Salt Generator

Contacto

Si tienes alguna pregunta o necesitas ayuda, escríbenos a help@modulards.com

Actualizado el: 14/01/2026