- Son 7 gün
- CWE-287
CVE-2026-106013
Jupiter X Core eklentisinde X sosyal giriş üzerinden kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sitenin web yönetim hesabına herhangi bir kimlik bilgisi olmadan erişilmesine olanak tanıyabilir ve kritik düzeyde bir risk taşır. Etkilenen sitelerde iş sürekliliği, müşteri verileri ve itibar açısından ciddi zarar doğabilir. Bu nedenle eklentinin hemen güncellenmesi veya geçici olarak devre dışı bırakılması önerilir.
ÖzetTürkçe
Jupiter X Core WordPress eklentisinin 4.61.0 ve önceki sürümlerinde, Twitter/X sosyal giriş işleyicisi kimlik doğrulama olmadan atlatılabilmektedir. verify_twitter_callback fonksiyonunda ziyaretçinin erişim belirteci, X API istemcisine atanmadığı için API çağrısı site yöneticisinin kayıtlı belirteciyle imzalanmakta ve X uygulamasının sahibinin profili döndürülmektedir. Eklenti bu e-posta adresini eşleştirerek WordPress hesabına giriş yaptırdığı için, etkilenen siteler ve genellikle site yöneticisi hesabı risk altındadır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması yapmadan, e-posta adresi X uygulama sahibiyle eşleşen WordPress kullanıcısı olarak oturum açabilir. Bu durum genellikle yönetici yetkisine ulaşmak ve sitenin tam kontrolünü ele geçirmek anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
The Jupiter X Core plugin for WordPress is vulnerable to Authentication Bypass via the Twitter/X Social Login handler in all versions up to and including 4.61.0. The vulnerability exists within the verify_twitter_callback function because after exchanging the visitor's oauth_verifier for their access token, the handler never calls setOauthToken() to reassign the returned credentials to the TwitterOAuth client, causing the subsequent account/verify_credentials API call to remain signed with the site operator's stored Access Token and Access Token Secret rather than the authenticating visitor's token. This causes the X API to return the profile of the X application owner instead of the signing-in visitor, and the plugin then resolves and authenticates a WordPress account solely by matching that owner's email address via wp_set_auth_cookie(), allowing unauthenticated attackers to gain authenticated access as the WordPress user whose email corresponds to the X app owner, who is typically the site administrator.
Ne yapmalı?
- Eklentiyi, sürüm bilgisi verilmeyen ancak 4.61.0 sürümünün üzerindeki bir düzeltilmiş sürüme güncelleyin; düzeltilmiş sürüm, satıcının resmi kanallarından doğrulanmalıdır. Genel öneri
- Güncelleme yapılana kadar Jupiter X Core eklentisindeki Twitter/X sosyal giriş özelliğini devre dışı bırakın veya eklentiyi geçici olarak kapatın. Genel öneri
- Yönetici hesaplarının parolalarını değiştirin ve mümkünse iki faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
- Yönetici hesabına ait beklenmeyen oturumları, yeni oluşturulmuş kullanıcıları ve yetki değişikliklerini kontrol edin; şüpheli bir durum varsa siteyi temiz bir yedekten geri yükleyin. Genel öneri
Ek önlemler
- Yönetici e-posta adresini sosyal giriş sağlayıcılarıyla eşleştiren özelliklerin gerekli olup olmadığını değerlendirin; gereksizse kapatın. Genel öneri
- Yönetici hesaplarında güçlü, benzersiz parolalar ve çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Yönetim paneli giriş kayıtlarını düzenli olarak izleyin ve olağandışı girişler için uyarı kurun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| artbees Jupiter X Core | ≤ 4.61.0 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.