Jupiter X Core: omisión de autenticación mediante el inicio de sesión con Twitter/X (CVE-2026-106013)
Se publicó una vulnerabilidad, CVE-2026-106013 (CVSS 9.8), para el plugin de WordPress Jupiter X Core. La función verify_twitter_callback no asigna el token del visitante al cliente TwitterOAuth, por lo que la solicitud se firma con el token del propietario de la app de X.
Revisado en Shield: sí
Quién está afectado
Todas las versiones de Jupiter X Core hasta la 4.61.0 inclusive están afectadas. Un atacante sin autenticación puede iniciar sesión como el usuario de WordPress cuyo correo coincide con el del propietario de la app de X, normalmente el administrador.
Cómo comprobar
Abre la lista de plugins en el administrador de WordPress y revisa la versión de Jupiter X Core. La versión 4.61.0 o inferior entra en la descripción. Comprueba también si el inicio de sesión social con Twitter/X está activado.
Cómo corregirlo
La fuente no indica una versión corregida. Está atento a una actualización del proveedor e instala el parche cuando se publique. Mientras tanto, considera desactivar el inicio de sesión con Twitter/X.
Qué comprueba Shield gratis
Shield detecta Jupiter X Core por las direcciones de sus archivos en el código de la página, lee la versión del readme.txt del plugin (la línea Stable tag) o del ?ver= de sus archivos y la compara con la versión corregida 4.61.1. Si tu versión es menor, el informe mostrará un hallazgo con enlace al CVE. Gratis, en cada análisis. Si el plugin no deja rastros en las páginas, no se ve desde fuera: revisa la versión en tu panel de administración.
Conviene saber
Aún no se divulgan la versión corregida ni datos de explotación. Fuente: NVD, CVE-2026-106013.
