Jupiter X Core: fallo crítico de acceso en WordPress

Qué es y a quién afectaEl plugin Jupiter X Core para WordPress incorpora un fallo de seguridad catalogado como CVE-2026-106013 que permite saltarse la...

Qué es y a quién afecta

El plugin Jupiter X Core para WordPress incorpora un fallo de seguridad catalogado como CVE-2026-106013 que permite saltarse la autenticación. Según la descripción publicada en la NVD del NIST, el problema se encuentra en la función verify_twitter_callback, dentro del módulo de inicio de sesión social con Twitter/X.

El error está en el flujo de OAuth: después de intercambiar el oauth_verifier del visitante por un token de acceso, el manejador no llama a setOauthToken() para reasignar esas credenciales al cliente de TwitterOAuth. Como consecuencia, la llamada posterior a account/verify_credentials sigue firmada con el token y el secreto del propietario del sitio, no con los del visitante. La API de X devuelve entonces el perfil del dueño de la aplicación y el plugin autentica una cuenta de WordPress basándose solo en la coincidencia de ese correo mediante wp_set_auth_cookie().

El resultado es que un atacante no autenticado puede obtener acceso como el usuario de WordPress cuyo correo coincide con el del propietario de la app de X, que habitualmente es el administrador del sitio. Afecta a todas las versiones hasta la 4.61.0 inclusive. La gravedad es crítica: CVSS 3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) y el tipo de fallo es CWE-287, autenticación incorrecta. La fecha de publicación en la NVD es el 28 de octubre de 2026.

Esto concierne de lleno a pymes, comercios online y empresas de España —también en Lleida, Barcelona, Tarragona o Girona— que usan WordPress con Jupiter X Core y tienen activado el inicio de sesión social. Un acceso de administrador abre la puerta a instalar plugins maliciosos, modificar contenidos, robar datos de clientes o comprometer el servidor.

Por qué conviene actuar sin esperar

Conviene ser precisos: este CVE no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de que se esté explotando de forma activa ni existe un plazo obligatorio de remediación por esa vía. Ahora bien, que no esté en KEV no significa que se pueda ignorar. Un fallo crítico de omisión de autenticación en un plugin muy extendido es un objetivo evidente: la barrera técnica para aprovecharlo es baja y el beneficio para el atacante, alto.

La ventana de exposición se mide en días. Cada jornada que pasa con la versión afectada en producción es una jornada en la que cualquiera puede intentar el acceso. En un comercio electrónico, un administrador comprometido puede derivar en pedidos falsos, fugas de datos personales con impacto en el RGPD y la LOPDGDD, o en la pérdida de confianza de los clientes.

Qué hacer hoy

Comprueba si usas el producto y en qué versión. Revisa en el panel de WordPress la versión instalada de Jupiter X Core. Si es 4.61.0 o anterior, estás dentro del rango afectado.
Aplica la actualización o mitigación que indique el aviso del fabricante. Consulta el changeset oficial del plugin y las referencias publicadas junto al CVE para saber qué versión corrige el fallo. Si en tu caso no es posible actualizar de inmediato, valora desactivar el inicio de sesión social con Twitter/X mientras tanto.
Revisa indicios de intrusión. Busca inicios de sesión recientes que no reconozcas, usuarios nuevos con permisos elevados, cambios en plugins o temas y modificaciones extrañas en archivos. Cualquier acceso de administrador no justificado merece una revisión a fondo.
Reduce lo expuesto a internet. Limita el acceso al panel de administración por IP o mediante VPN, activa la doble autenticación en las cuentas con privilegios y mantén al día el núcleo de WordPress, los plugins y los temas. El hardening del servidor y unas reglas de firewall bien ajustadas rebajan mucho la superficie de ataque.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño. En un caso como este, lo primero es confirmar el inventario real: qué versión de Jupiter X Core hay en cada instalación y qué módulos están activos. A partir de ahí, planificamos la actualización y el hardening de servidores para que el cambio no rompa la tienda ni el área privada.

Si hay dudas sobre si alguien ha entrado, hacemos una auditoría de seguridad y un pentesting para detectar vulnerabilidades y posibles brechas, revisamos los registros y la monitorización, y activamos un protocolo de respuesta a incidentes si hace falta. También nos ocupamos del mantenimiento y la actualización continua de WordPress, PrestaShop y Joomla, y de la reparación de webs hackeadas cuando el daño ya se ha producido. El objetivo es sencillo: cerrar las vulnerabilidades antes de que alguien las explote y dejar el sitio en un estado en el que dormir tranquilo sea posible.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.