CVE-2026-106013

Nome do Software Vulnerável e Versões Afetadas Jupiter X Core plugin for WordPress versões anteriores a 4.61.1

Descrição Existe uma falha de bypass de autenticação no manipulador de Login Social do Twitter/X. O problema ocorre na função verify twitter callback(), onde o manipulador não chama setOauthToken() após trocar o oauth verifier por um token de acesso. Consequentemente, a chamada de API account/verify credentials é assinada usando o Access Token e o Access Token Secret armazenados do operador do site, em vez do token do visitante. Isso faz com que a API do X retorne o perfil do proprietário do aplicativo, que o plugin então utiliza para autenticar uma conta do WordPress via wp set auth cookie() com base no endereço de e-mail do proprietário. Isso permite que invasores não autenticados obtenham acesso à conta associada ao proprietário do app do X, que geralmente é o administrador do site.

Recomendações Atualize o Jupiter X Core plugin for WordPress para a versão 4.61.1 ou posterior.