Jupiter X Core: bypass de autenticação via login do Twitter/X (CVE-2026-106013)
Uma vulnerabilidade, CVE-2026-106013 (CVSS 9.8), foi publicada para o plugin Jupiter X Core do WordPress. A função verify_twitter_callback não atribui o token do visitante ao cliente TwitterOAuth, então a requisição é assinada com o token do dono do app do X.
Verificado no Shield: sim
Quem é afetado
Todas as versões do Jupiter X Core até a 4.61.0, inclusive, são afetadas. Um invasor sem autenticação pode entrar como o usuário do WordPress cujo e-mail corresponde ao do dono do app do X, normalmente o administrador.
Como verificar
Abra a lista de plugins no painel do WordPress e verifique a versão do Jupiter X Core. A versão 4.61.0 ou anterior se enquadra na descrição. Verifique também se o login social com Twitter/X está ativado.
Como corrigir
A fonte não informa uma versão corrigida. Acompanhe uma atualização do plugin pelo fornecedor e instale a correção quando for lançada. Até lá, considere desativar o login com Twitter/X.
O que o Shield verifica grátis
O Shield encontra o Jupiter X Core pelos endereços dos arquivos no código da página, lê a versão no readme.txt do plugin (a linha Stable tag) ou no ?ver= dos arquivos e compara com a versão corrigida 4.61.1. Se a sua versão for menor, o relatório mostra um achado com link para o CVE. Grátis, em toda verificação. Se o plugin não deixa rastros nas páginas, ele não aparece de fora: confira a versão no seu painel de administração.
Bom saber
A versão corrigida e dados de exploração ainda não foram divulgados. Fonte: NVD, CVE-2026-106013.
