WordPressテーマ「Jupiter X」の機能を提供するプラグイン「Jupiter X Core」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.61.0 までのすべてのバージョンです。
X（旧Twitter）アカウントでのログイン機能を設定しているサイトでは、ログインしていない第三者に、管理者などのアカウントでログインされるおそれがあります。
対策として、バージョン 4.62.0 以降への更新を推奨します。
脆弱性詳細
問題があるのは、Xアカウントでのログイン（ソーシャルログイン）が完了した後に、どのWordPressアカウントとしてログインさせるかを判定する処理です。
対象となるのは、サイトの設定に登録しているXアカウントと同じメールアドレスを持つWordPressアカウントです。サイト運営者が、自身のXアカウントと同じメールアドレスで管理者アカウントを登録している場合は、その管理者アカウントが該当します。
想定される被害
対象アカウントでログインが成立した場合、通常のログインと同じ状態になるため、次のような影響が想定されます。
- 対象アカウントに与えられた権限の範囲で操作が行われる
- 管理者アカウントが対象の場合、投稿・利用者・プラグイン・設定など、管理画面の操作が可能になる
なお、同じメールアドレスのWordPressアカウントが存在しない場合は、そのメールアドレスで低権限ユーザー（購読者レベル）が新たに作成され、Xでログインした人は全員そのアカウントでログインする状態になります。この場合、管理者アカウントへのログインには至りません。
被害発生の条件
以下が重なった場合に成立します。
- プラグイン設定の「X API Details」欄に、X連携用の認証情報（API KEY、Access Token など）が登録されている
- 攻撃者が自身のXアカウントを持っている
ログイン画面にXログインボタンを設置していなくても、上記の設定があれば成立します。攻撃者側のWordPressへのログインや、管理者・利用者の操作は必要ありません。
技術的な詳細
本脆弱性は、Xに「誰がログインしてきたか」を問い合わせる際に、ログインしてきた本人の認証情報ではなく、サイト側の認証情報を使っていたことが原因です。
本来の流れ
- 利用者がXで認証すると、その利用者専用の認証情報（アクセストークン）がサイトに渡される
- サイトはこの認証情報を使ってXに問い合わせ、ログインしてきた本人のアカウント情報とメールアドレスを確認する
問題点
- 本人の認証情報を受け取った後、問い合わせに使う認証情報を切り替えていなかった
- そのため、問い合わせはサイト設定に登録された認証情報のまま行われ、Xからは「サイト設定に登録されたXアカウント」の情報が返されていた
- プラグインは返ってきたメールアドレスと一致するWordPressアカウントを探し、そのアカウントとしてログインさせていた
- 結果として、攻撃者が自身のXアカウントでログイン手続きを行うだけで、サイト設定側のXアカウントに対応するWordPressアカウントでログインできる状態になっていた
対策版での修正
- 本人の認証情報を受け取った後、問い合わせに使う認証情報を本人のものに切り替える処理を追加
- Xから返されたアカウントが、認証した本人のアカウントと一致するかを確認する処理を追加
- Xログインの開始と完了が同じブラウザで行われたかを確認する処理を追加（第三者が用意したリンクを開いた人を、その第三者のアカウントで強制的にログインさせる手口への対策）
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.62.0 以降）へ更新してください。
- すぐに更新できない場合は、「X API Details」欄の登録内容を削除してください。Xログインを利用していないサイトで値が残っている場合も同様です。
- 被害確認
- Webサーバーのアクセスログで、URLに
oauth_verifierとoauth_tokenが含まれるアクセスを確認してください。正常なXログインでも記録されるため、Xログインを利用していないのに記録がある、件数・送信元・時間帯が普段と異なる、といった観点でご確認ください。 - 管理画面の「ユーザー」メニューで、サイト設定に登録しているXアカウントと同じメールアドレスのアカウントを特定し、そのアカウントで身に覚えのない投稿・設定変更・利用者の追加が行われていないかご確認ください。
- 同じメールアドレスのアカウントがない場合は、そのメールアドレスをユーザー名とする購読者アカウントが作成されていないかご確認ください。作成されていれば、Xログインが実行されたことを示します。
- 更新後、対象アカウントのプロフィール画面から「他のすべての場所からログアウト」を実行してください。本脆弱性はXログインを経由して成立するため、パスワードを変更しても第三者のログイン状態は無効になりません。
- Webサーバーのアクセスログで、URLに
⇒ 身に覚えのない利用者アカウントや、投稿・設定の変更が確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Jupiter X Core 4.61.0 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-106013 
（公開日 2026年10月28日 更新日 2026年10月29日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-106013 悪用確率 0.55% （上位54%） 2026年10月28日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Jupiter X Core プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
