Jupiter X Core: обхід автентифікації через вхід Twitter/X (CVE-2026-106013)
У плагіні Jupiter X Core для WordPress виявлено вразливість CVE-2026-106013 (CVSS 9.8). Функція verify_twitter_callback не передає токен відвідувача клієнту TwitterOAuth, і запит підписується токеном власника X-застосунку.
Перевіряється в Shield: ні
Кого стосується
Уражені всі версії Jupiter X Core до 4.61.0 включно. Неавтентифікований зловмисник може увійти як користувач WordPress з email власника X-застосунку, зазвичай адміністратор.
Як перевірити в себе
Відкрийте список плагінів в адмінпанелі WordPress і перевірте версію Jupiter X Core. Версія 4.61.0 або нижча підпадає під опис вразливості. Також перевірте, чи ввімкнено вхід через Twitter/X.
Як виправити
Виправлена версія в джерелі не вказана. Стежте за оновленнями плагіна від розробника та встановіть патч, щойно він вийде. До того розгляньте вимкнення входу через Twitter/X.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Виправлена версія та дані про експлуатацію поки не розкриті. Джерело: NVD, CVE-2026-106013.
