گزارش امنیتی SafeNest — Jupiter X Core WordPress
در تاریخ ۲۸ اکتبر ۲۰۲۶، آسیب‌پذیری بحرانی CVE-2026-106013 در افزونه Jupiter X Core برای WordPress ثبت شد. نقص به مدیریت توکن هنگام ورود اجتماعی Twitter/X مربوط است و می‌تواند در صورت استفاده از این قابلیت به اشتباه‌گرفتن هویت بازدیدکننده با مالک برنامه اجتماعی و دسترسی غیرمجاز به حساب WordPress منجر شود. به دلیل آنکه مالک برنامه اغلب حساب مدیر سایت است، پیامد ممکن بسیار جدی است. در رکورد رسمی، نسخه‌های تا و شامل 4.61.0 آسیب‌پذیرند؛ شماره نسخه اصلاح‌شده به صورت قطعی در CVE تأیید نشده است.
جدول شناسه‌ها، امتیاز، نسخه‌ها و شرایط
| CVE | CVSS | CWE | نوع ضعف | نسخه آسیب‌پذیر | نسخه اصلاحی | پیش‌شرط |
|---|---|---|---|---|---|---|
| CVE-2026-106013 | 9.8 / CVSS v3.1 | CWE-287 | ضعف احراز هویت OAuth و Social Login | Jupiter X Core تا و شامل 4.61.0 | شماره نسخه رفع‌شده در رکورد رسمی تأیید نشده است؛ اصلاح کد در مخزن WordPress ثبت شده | قابلیت Twitter/X Social Login با تنظیمات آسیب‌پذیر فعال باشد؛ درخواست بیرونی بدون حساب اولیه |
شرح فنی مستقل CVE-2026-106013
در جریان ورود اجتماعی، نتیجه تبادل توکن باید به هویت همان بازدیدکننده مرتبط بماند. در نسخه‌های آسیب‌پذیر، اطلاعات توکن برگشتی برای Client مورد استفاده در درخواست تأیید هویت به‌درستی جایگزین نمی‌شود. در نتیجه درخواست هویت ممکن است به حساب مالک برنامه X مرتبط بماند و برنامه وب هویت اشتباهی را به حساب WordPress نگاشت کند. این یک شکست در مرز اعتماد است، نه ضعف گذرواژه مدیر.
نسخه و شرط: Jupiter X Core تا و شامل 4.61.0؛ قابلیت Twitter/X Social Login با تنظیمات آسیب‌پذیر فعال باشد؛ درخواست بیرونی بدون حساب اولیه.
اصلاح: قابلیت ورود Twitter/X را تا تأیید وصله غیرفعال کنید، برنامه اجتماعی و نگاشت ایمیل را بازبینی کنید و پس از دریافت انتشار اصلاحی معتبر افزونه را ارتقا دهید. وضعیت نسخه رفع: شماره نسخه رفع‌شده در رکورد رسمی تأیید نشده است؛ اصلاح کد در مخزن WordPress ثبت شده.
اهمیت ورود اجتماعی
Social Login راه ورود کاربران را با یک ارائه‌دهنده بیرونی هویت تسهیل می‌کند. در این معماری، داشتن پاسخ موفق از ارائه‌دهنده به‌تنهایی کافی نیست و برنامه باید اطمینان حاصل کند پاسخ مربوط به همان درخواست و همان کاربر است. خطای ارتباط توکن‌ها می‌تواند هویت اشتباه تولید کند.
نقش توکن
توکن دسترسی باید به بازدیدکننده‌ای متصل باشد که جریان ورود را آغاز کرده است. اگر Client در مرحله تأیید، توکن دیگری را به کار ببرد، نتیجه احراز هویت ممکن است به کاربر ناخواسته اشاره کند. این نقص از نوع CWE-287 یا اثبات ناکافی هویت است.
تفاوت نقص و حمله قطعی
وجود نسخه 4.61.0 یا قدیمی‌تر به معنی نفوذ بالفعل نیست؛ فعال بودن مسیر Social Login X و تنظیمات برنامه اجتماعی در معرض خطر بودن را تعیین می‌کند. بررسی بهره‌برداری واقعی نیز باید مبتنی بر شواهد لاگ و حساب‌ها باشد.
چرا مدیر سایت هدف بااهمیتی است؟
حساب مدیر WordPress ممکن است اجازه ویرایش محتوا، نصب افزونه، مدیریت کاربران و دسترسی به تنظیمات حساس را داشته باشد. اگر جریان ورود به چنین حسابی نگاشت شود، تأثیر روی محرمانگی و تمامیت سایت می‌تواند شدید باشد.
محدوده تأثیر
این CVE مشخصاً برای Jupiter X Core و مسیر ورود Twitter/X گزارش شده است؛ تعمیم آن به همه قالب‌ها یا همه افزونه‌های OAuth WordPress بدون مدرک نادرست خواهد بود. سایت‌هایی که این افزونه را ندارند از این CVE خاص متأثر نیستند.
نسخه اصلاحی و عدم قطعیت
در WordPress Trac تغییر مربوط به منطق Social Login قابل مشاهده است، اما وجود یک تغییر در کد منبع لزوماً نشان نمی‌دهد نسخه‌ای با شماره مشخص برای همه نصب‌ها منتشر شده است. مسئول سایت باید صفحه افزونه و اعلامیه Wordfence را برای شماره Release امن کنترل کند.
کنترل موقت
تا تأیید نسخه رفع‌شده می‌توان ورود از Twitter/X را غیرفعال و مسیر احراز هویت را به روش‌های مطمئن باقی‌مانده محدود کرد. این اقدام باید با توجه به کاربرانی که به ورود اجتماعی وابسته‌اند برنامه‌ریزی شود تا دسترسی کاربران مجاز قطع نشود.
پایش و پاسخ
رویدادهای ورود مدیر، تغییر ایمیل حساب، افزودن کاربر دارای مجوز بالا و تغییر افزونه‌ها باید بررسی شود. لاگ برنامه، سرویس هویت و سیستم پایش مرکزی می‌تواند برای تعیین زمان و ماهیت رخداد استفاده شود. نشست‌های نامعتبر بر اساس شواهد باید باطل شوند.
اقدام عملیاتی
موجودی سایت‌ها را بررسی کنید؛ افزونه Jupiter X Core، نسخه اجراشده، فعال بودن Twitter/X و مالک برنامه اجتماعی را ثبت کنید. بعد از اصلاح، با حساب مجاز فرایند ورود را آزمایش و نتیجه را در سامانه مدیریت تغییر ثبت کنید.
بهداشت مدیریت هویت
برای حساب‌های مدیریتی از احراز هویت چندعاملی و حداقل تعداد حساب‌های پرامتیاز استفاده کنید. جداسازی حساب مدیر از حساب مورد استفاده برای ساخت برنامه‌های Social Login نیز به کاهش پیامدهای نگاشت نادرست کمک می‌کند.
جمع‌بندی مدیریتی
این نقص از خطاهای منطقی در مدیریت هویت است و با افزایش طول گذرواژه به‌تنهایی برطرف نمی‌شود. کنترل اصلی اصلاح جریان OAuth و جلوگیری از در دسترس بودن مسیر آسیب‌پذیر تا انتشار Patch معتبر است.
اولویت، کاهش مواجهه و کنترل‌های مکمل
بر اساس نقش محصول در سازمان، ابتدا دارایی‌های دارای نسخه و عملکرد آسیب‌پذیر را مشخص کنید. مسیرهای ورودی از کاربران یا داده‌های غیرمطمئن، مجوز اجرای فرایند، حساب‌های سرویس و اتصال به منابع حساس را ارزیابی نمایید. کنترل‌های جبرانی شامل محدودسازی دسترسی، جداسازی شبکه، ثبت متمرکز رویداد و پیگیری وصله رسمی هستند. این کنترل‌ها جایگزین رفع ریشه‌ای برنامه نیستند و باید همراه با مالک، زمان بازبینی و شواهد اجرا ثبت شوند.
وضعیت بهره‌برداری و اعتبار اطلاعات
در منابع بررسی‌شده تأیید مستقلی از بهره‌برداری فعال در دنیای واقعی یا ورود این CVE به فهرست CISA KEV در زمان انتشار این مطلب به‌دست نیامد. وجود گزارش فنی یا امکان ساخت نمونه تحقیقاتی به معنی رخ‌دادن حمله موفق نیست. نسخه‌های رفع‌شده فقط زمانی ذکر شده‌اند که با منبع رسمی تأیید شده باشند.