CVE-2026-106013

KrytyczneCVSS 9.8

Opublikowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka Jupiter X Core dla WordPressa (do wersji 4.61.0) zawiera obejście uwierzytelniania w obsłudze logowania przez Twitter/X. Funkcja verify_twitter_callback nie przypisuje zwróconego tokenu do klienta TwitterOAuth, przez co kolejne wywołanie API weryfikuje poświadczenia właściciela aplikacji X zamiast logującego się użytkownika, a wtyczka uwierzytelnia konto WordPress na podstawie adresu e-mail tego właściciela.

Ocena ryzyka

Nieuwierzytelniony atakujący może zalogować się jako użytkownik WordPress powiązany z e-mailem właściciela aplikacji X, którym zwykle jest administrator witryny, co prowadzi do pełnego przejęcia serwisu.

Rekomendacja

Zaktualizuj wtyczkę Jupiter X Core do wersji nowszej niż 4.61.0 lub tymczasowo wyłącz logowanie przez Twitter/X; przejrzyj konta i sesje administracyjne pod kątem nieautoryzowanego dostępu.

Inne podatności w Jupiter X Core

CVE-2026-10511Średnie
Wtyczka Jupiter X Core dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'forget_password_link' we wszystkich wersjach do 4.61.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej poziomu contributora może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Oryginalny opis (angielski, źródło NVD)

The Jupiter X Core plugin for WordPress is vulnerable to Authentication Bypass via the Twitter/X Social Login handler in all versions up to and including 4.61.0. The vulnerability exists within the verify_twitter_callback function because after exchanging the visitor's oauth_verifier for their access token, the handler never calls setOauthToken() to reassign the returned credentials to the TwitterOAuth client, causing the subsequent account/verify_credentials API call to remain signed with the site operator's stored Access Token and Access Token Secret rather than the authenticating visitor's token. This causes the X API to return the profile of the X application owner instead of the signing-in visitor, and the plugin then resolves and authenticates a WordPress account solely by matching that owner's email address via wp_set_auth_cookie(), allowing unauthenticated attackers to gain authenticated access as the WordPress user whose email corresponds to the X app owner, who is typically the site administrator.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS