Jupiter X 插件超危漏洞预警（CVE-2026-106013）

漏洞速览

• 漏洞编号：CVE-2026-106013
• 风险评分：9.8（严重）
• 首次披露：2026-10-27
• 最近更新：2026-10-27
• 软件类型：插件
• 软件标识：jupiterx-core
• 受影响版本：<= 4.61.0
• 修复版本：4.62.0
• 是否已修复：是

漏洞详情

WordPress 的 Jupiter X Core 插件在所有 4.61.0 及以下版本中，其 Twitter/X 社交登录处理器存在身份验证绕过漏洞。 漏洞位于 verify_twitter_callback 函数中：处理器使用访问者的 oauth_verifier 换取访问令牌后，从未调用 setOauthToken() 将返回的凭据重新分配给 TwitterOAuth 客户端，导致后续的账户查询及 verify_credentials API 调用仍使用网站运营者已保存的 Access Token 和 Access Token Secret，而非正在登录的访问者的令牌。

因此，X API 会返回 X 应用所有者的个人资料，插件随后仅通过 wp_set_auth_cookie()，依据该所有者的电子邮箱地址匹配并验证 WordPress 账户。 未经验证的攻击者由此可以获取已登录权限，成为电子邮箱与 X 应用所有者对应的 WordPress 用户，而该用户通常是网站管理员。

影响与风险

• 漏洞类型：Unauthenticated Authentication Bypass via Twitter/X Social Login oauth_verifier Parameter
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：daroo

修复建议

1. 按官方建议执行修复：更新至 4.62.0 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录