Veille sécuritéCMS & e-commerce
P3Critique
Le plugin Jupiter X Core est vulnérable à un contournement d’authentification via la connexion sociale Twitter/X. Les versions jusqu’à 4.61.0 inclus sont concernées ; la fiche NVD a été publiée pendant la période, mais le correctif n’est pas précisé ici.
WordPress
IdentifiantCVE-2026-106013
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-106013
Analyse technique
Le gestionnaire de rappel Twitter/X ne réattribue pas les jetons OAuth du visiteur avant de vérifier les identifiants du compte ; un compte WordPress peut être choisi par correspondance d’adresse e-mail.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T02:17:01.303Z, dans la période demandée. La mise à jour NVD indiquée le 2026-10-29 est postérieure à la borne et n’est pas retenue comme événement.
ImpactUn attaquant pourrait obtenir une session WordPress correspondant au compte associé à l’adresse e-mail du propriétaire de l’application X.
Versions affectéesJupiter X Core jusqu’à 4.61.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,55% · percentile 46,1%
Publication2026-10-28T02:17:01.303Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est identifiée par l’éditeur ; à défaut, désactiver la connexion sociale concernée.
Sources
Priorisation DFS : P3 · 1 source(s).