Jupiter X Core: обход аутентификации через вход Twitter/X (CVE-2026-106013)
В плагине Jupiter X Core для WordPress найдена уязвимость CVE-2026-106013 (CVSS 9.8). Функция verify_twitter_callback не передаёт токен посетителя клиенту TwitterOAuth, и запрос подписывается токеном владельца X-приложения.
Проверяется в Shield: нет
Кого касается
Затронуты все версии Jupiter X Core до 4.61.0 включительно. Неаутентифицированный атакwник может войти как пользователь WordPress с email владельца X-приложения, обычно администратор.
Как проверить у себя
Откройте список плагинов в админ-панели WordPress и проверьте версию Jupiter X Core. Версия 4.61.0 или ниже попадает под описание уязвимости. Также проверьте, включён ли вход через Twitter/X.
Как исправить
Исправленная версия в источнике не указана. Следите за обновлениями плагина у разработчика и установите патч, когда он выйдет. До этого рассмотрите отключение входа через Twitter/X.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Исправленная версия и данные об эксплуатации пока не раскрыты. Источник: NVD, CVE-2026-106013.
