Jupiter X Core: obejście uwierzytelniania przez logowanie Twitter/X (CVE-2026-106013)
Opublikowano podatność CVE-2026-106013 (CVSS 9.8) we wtyczce Jupiter X Core dla WordPress. Funkcja verify_twitter_callback nie przekazuje tokena odwiedzającego klientowi TwitterOAuth, więc żądanie jest podpisane tokenem właściciela aplikacji X.
Sprawdzane w Shield: nie
Kogo dotyczy
Dotyczy wszystkich wersji Jupiter X Core do 4.61.0 włącznie. Nieuwierzytelniony atakujący może zalogować się jako użytkownik WordPress z adresem e-mail właściciela aplikacji X, zwykle administrator.
Jak sprawdzić u siebie
Otwórz listę wtyczek w panelu WordPress i sprawdź wersję Jupiter X Core. Wersja 4.61.0 lub niższa podlega opisowi. Sprawdź też, czy logowanie przez Twitter/X jest włączone.
Jak naprawić
Źródło nie podaje poprawionej wersji. Śledź aktualizacje wtyczki od producenta i zainstaluj poprawkę po jej wydaniu. Do tego czasu rozważ wyłączenie logowania przez Twitter/X.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Poprawiona wersja i dane o wykorzystaniu podatności nie zostały jeszcze ujawnione. Źródło: NVD, CVE-2026-106013.
