Skip to content
KitploitKITPLOIT
उपकरणब्लॉग
जमा करें
उपकरणब्लॉग
जमा करें

हैकिंग, पेनटेस्ट और साइबर सुरक्षा उपकरण आपके सुरक्षा शस्त्रागार के लिए!

Kitploit हैकिंग, साइबर सुरक्षा और पेंटेस्टिंग टूल्स की एक निर्देशिका है। कमजोरियों को खोजने, सिस्टम का विश्लेषण करने, परीक्षण को स्वचालित करने और अपनी सुरक्षा को मजबूत करने के लिए नवीनतम प्रोजेक्ट अपडेट खोजें।

··फ़ीड·संपर्क·गोपनीयता·© 2026 Kitploit

टूल निर्देशिका

श्रेणियाँ

सभी श्रेणियाँ देखें
Loading categories
CVE-2026-13447 — CVE-2026-13447 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो WordPress MStore API प्लगइन में फ़र्जी Firebase JWT टोकन के माध्यम से एक गंभीर ऑथेंटिकेशन बायपास है, साथ में एक स्थानीय लैब प्रजनन। | Kitploit
उपकरण/GitHubGitHub/abraxas/cve-2026-13447
भेद्यता विश्लेषणशोषणवेब एप्लिकेशन शोषणवेब सुरक्षाक्रिप्टोग्राफीपेनिट्रेशन टेस्टिंगप्रमाणीकरणलैब और अभ्यास
GitHubabraxas/cve-2026-13447

CVE-2026-13447

CVE-2026-13447 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो WordPress MStore API प्लगइन में फ़र्जी Firebase JWT टोकन के माध्यम से एक गंभीर ऑथेंटिकेशन बायपास है, साथ में एक स्थानीय लैब प्रजनन।

रिपॉजिटरी देखें
4घं 47मि पहलेअभी तक समीक्षित नहीं

सबसे लोकप्रिय

सभी देखें →

हमारे समुदाय द्वारा सबसे अधिक उपयोग किए जाने वाले उपकरण खोजें।

सभी उपकरण खोजें

हमारे उपकरणों का संग्रह ब्राउज़ करें

सभी उपकरण देखें →
साझा करें

Abraxas Labs — CVE-2026-13447 — WordPress

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-13447

CVE-2026-13447 — WordPress

WordPress — MStore API 4.18.4 — inspireui

WordPress के लिए Mstore Api प्लगइन 4.20.0 तक के संस्करणों में JWT Forgery के माध्यम से Authentication Bypass के प्रति असुरक्षित है। यह FirebasePhoneAuthHelper::verify_id_token() फ़ंक्शन में क्रिप्टोग्राफ़िक हस्ताक्षर सत्यापन के अभाव के कारण है, जो Firebase ID टोकन दावों (alg, kid, aud, iss) को डिकोड और सत्यापित करता है लेकिन Google के वास्तविक सार्वजनिक कुंजी प्रमाणपत्रों के विरुद्ध JWT हस्ताक्षर को मान्य करने के लिए कभी भी openssl_verify() या कोई समकक्ष कॉल नहीं करता है। इससे अनधिकृत हमलावरों के लिए स्व-जनित RSA कुंजी जोड़ी से हस्ताक्षरित Firebase Phone Auth JWT को फ़ोर्ज करना और किसी भी फ़ोन नंबर का रूप धारण करना संभव हो जाता है, जिसके परिणामस्वरूप मौजूदा WordPress खातों तक अनधिकृत पहुँच या नए मनमाने खातों का निर्माण होता है।

CVECVE-2026-13447 · CVE.org
CWECWE-287
CVSSCritical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
ProductWordPress — MStore API
Affected4.20.0 तक के सभी संस्करण (lab 4.18.4; 4.20.0 zip नहीं)
Patched4.21.1 और बाद के संस्करण
Authकोई नहीं (source map देखें)
LicenseGNU Affero GPL v3.0
Labकेवल 127.0.0.1 · vendor/client disclosure pack, स्कैनर नहीं

Advisory (source map से)

verify_id_token ही sink है। HTTP, JSON id_token के साथ POST firebase_sms_v2 है, verify_id_token नाम का query param नहीं।

Entry

  • Method: POST
  • Path: /wp-json/api/flutter_user/firebase_sms_v2
  • Router: POST /wp-json/api/flutter_user/firebase_sms_v2 (साथ ही /?rest_route=/api/flutter_user/firebase_sms_v2)। FlutterUserController permission_callback isPurchaseCodeVerified सदैव true। firebase_sms_verify_id_token, php://input id_token पढ़ता है। FirebasePhoneAuthHelper::verify_id_token, Google key सूची में alg, kid की जाँच करता है, अपलोड किए गए firebase json से aud/iss लेता है, phone_number लौटाता है। firebase_sms_login_v2, registered_phone_number खोजता है और generateCookieByUserId लौटाता है। 4.21.1 हस्ताक्षर सत्यापन जोड़ता है।
  • Notes: CVE-2026-13447 CWE-287 MStore API 4.18.4 (NVD 4.20.0 तक; 4.20.0 zip नहीं)। JSON में Witness POCWitness13447। यह reverse shell नहीं है।

Call chain

  • GET Google x509 metadata, pick a kid
  • Build unsigned-verify JWT RS256 kid=that, aud=poc13447, iss=https://securetoken.google.com/poc13447, phone_number=+15551213447
  • POST /wp-json/api/flutter_user/firebase_sms_v2 {id_token}
  • verify_id_token skips openssl_verify, returns +15551213447
  • firebase_sms_login_v2 get_users registered_phone_number=that phone -> user 1
  • JSON cookie + displayname POCWitness13447

Lab preconditions

  • MStore API 4.18.4
  • uploads/flutter_firebase/poc13447.json project_id=poc13447, option mstore_firebase_file_name
  • admin registered_phone_number=+15551213447 display_name=POCWitness13447
  • lab host, Google x509 को GET कर सकता हो (kid उस सूची में होना चाहिए)

Witness

POST JSON body में POCWitness13447 (admin displayname) और cookie होता है। उस स्ट्रिंग के बिना सामान्य 200, यह नहीं है।

Not success

  • id_token अमान्य है
  • Firebase private key फ़ाइल नहीं मिली
  • उपयोगकर्ता मौजूद नहीं है
  • POCWitness13447 के बिना 200
  • reverse shell या Google kid fetch के अलावा कोई outbound connect

Patch / remediation

पहले यह करें: MStore API को 4.21.1 या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

  • पैच किए गए बिल्ड के विरुद्ध CVE-2026-13447-Abraxas-Labs.py को फिर से चलाएँ: mapped witness नहीं दिखना चाहिए।
  • तैनात ट्री में vendor advisory / changeset की पुष्टि करें (references देखें)।
  • WAF signature देरी है, पैच नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

  • प्रभावित घटक को अक्षम या अलग करें।
  • प्रोडक्शन पर witness स्थिति की तलाश करें (नए विशेषाधिकार प्राप्त उपयोगकर्ता, अप्रत्याशित फ़ाइलें, इंजेक्ट की गई पंक्तियाँ — जो भी इस CVE का map नाम देता है)।

Reproduction (authorized lab)

लक्ष्य केवल http://127.0.0.1:8088 (या जो loopback आपने बाइंड किया है)। इस स्क्रिप्ट को इंटरनेट की ओर निर्देशित न करें।

root@kitploit:~
python3 CVE-2026-13447-Abraxas-Labs.py

सफलता प्रतिक्रिया body में ऊपर दिया गया witness है। सामान्य 200 HTML यह नहीं है।

Lab images

प्रतिलिपि बनाने के लिए उपयोग किया गया loopback stack। आधिकारिक images, जब तक इस फ़ोल्डर में कोई Dockerfile स्रोत से बिल्ड न करे।

  • lab/docker-compose.yml
  • lab/docker-compose.override.yml
  • lab/Dockerfile
root@kitploit:~
cd lab
docker compose up --force-recreate

यदि YAML किसी स्थानीय निर्देशिका को माउंट करता है (संस्करण तालिका से plugin zip / source tag) तो असुरक्षित उत्पाद ट्री को Compose के बगल में बाइंड करें। 127.0.0.1 के अलावा कुछ भी प्रकाशित न करें।

References

  • CVE-2026-13447 · NVD

  • CVE-2026-13447 · CVE.org

  • plugins.trac.wordpress.org/browser/mstore-api/tags/4.18.4/controllers/flutter-user.php#L829

  • plugins.trac.wordpress.org/browser/mstore-api/tags/4.18.4/controllers/flutter-user.php#L940

  • plugins.trac.wordpress.org/browser/mstore-api/tags/4.18.4/controllers/helpers/firebase-phone-auth-helper.php#L5

  • plugins.trac.wordpress.org/browser/mstore-api/trunk/controllers/flutter-user.php#L829

  • plugins.trac.wordpress.org/browser/mstore-api/trunk/controllers/flutter-user.php#L940

  • plugins.trac.wordpress.org/browser/mstore-api/trunk/controllers/helpers/firebase-phone-auth-helper.php#L5

  • www.wordfence.com/threat-intel/vulnerabilities/id/4a1127af-74f6-4748-9aee-5a8c6c2766a4?source=cve

  • github.com/advisories/GHSA-6wfp-pwm3-667v

  • nvd.nist.gov/vuln/detail/CVE-2026-13447

  • Plugin directory: mstore-api

  • Trac browser: plugins.trac.wordpress.org/mstore-api

  • SVN tags: plugins.svn.wordpress.org/mstore-api

  • Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

root@kitploit:~
# CVE-2026-13447  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-13447`
- CWE: CWE-287
- published: 2026-09-05T06:17:09.403

## NVD description

The Mstore Api plugin for WordPress is vulnerable to Authentication Bypass via JWT Forgery in versions up to, and including, 4.20.0 This is due to missing cryptographic signature verification in the FirebasePhoneAuthHelper::verify_id_token() function, which decodes and validates Firebase ID token claims (alg, kid, aud, iss) but never calls openssl_verify() or any equivalent to validate the JWT signature against Google's actual public key certificates. This makes it possible for unauthenticated attackers to forge a Firebase Phone Auth JWT signed with a self-generated RSA key pair and impersonate any phone number, resulting in unauthorized access to existing WordPress accounts or creation of new arbitrary accounts.

## MITRE description

The Mstore Api plugin for WordPress is vulnerable to Authentication Bypass via JWT Forgery in versions up to, and including, 4.20.0 This is due to missing cryptographic signature verification in the FirebasePhoneAuthHelper::verify_id_token() function, which decodes and validates Firebase ID token claims (alg, kid, aud, iss) but never calls openssl_verify() or any equivalent to validate the JWT signature against Google's actual public key certificates. This makes it possible for unauthenticated attackers to forge a Firebase Phone Auth JWT signed with a self-generated RSA key pair and impersonate any phone number, resulting in unauthorized access to existing WordPress accounts or creation of new arbitrary accounts.

## Affected

- inspireui MStore API – Create Native Android & iOS Apps On The Cloud 0 affected

## References (JSON sources only)

- https://plugins.trac.wordpress.org/browser/mstore-api/tags/4.18.4/controllers/flutter-user.php#L829
- https://plugins.trac.wordpress.org/browser/mstore-api/tags/4.18.4/controllers/flutter-user.php#L940
- https://plugins.trac.wordpress.org/browser/mstore-api/tags/4.18.4/controllers/helpers/firebase-phone-auth-helper.php#L5
- https://plugins.trac.wordpress.org/browser/mstore-api/trunk/controllers/flutter-user.php#L829
- https://plugins.trac.wordpress.org/browser/mstore-api/trunk/controllers/flutter-user.php#L940
- https://plugins.trac.wordpress.org/browser/mstore-api/trunk/controllers/helpers/firebase-phone-auth-helper.php#L5
- https://www.wordfence.com/threat-intel/vulnerabilities/id/4a1127af-74f6-4748-9aee-5a8c6c2766a4?source=cve
- https://github.com/advisories/GHSA-6wfp-pwm3-667v
- https://nvd.nist.gov/vuln/detail/CVE-2026-13447

## GitHub advisory

The Mstore Api plugin for WordPress is vulnerable to Authentication Bypass via JWT Forgery in...

The Mstore Api plugin for WordPress is vulnerable to Authentication Bypass via JWT Forgery in versions up to, and including, 4.20.0 This is due to missing cryptographic signature verification in the FirebasePhoneAuthHelper::verify_id_token() function, which decodes and validates Firebase ID token claims (alg, kid, aud, iss) but never calls openssl_verify() or any equivalent to validate the JWT signature against Google's actual public key certificates. This makes it possible for unauthenticated attackers to forge a Firebase Phone Auth JWT signed with a self-generated RSA key pair and impersonate any phone number, resulting in unauthorized access to existing WordPress accounts or creation of new arbitrary accounts.

License

यह disclosure pack GNU Affero General Public License v3.0 के अंतर्गत लाइसेंस प्राप्त है। देखें LICENSE।

Disclaimer

यह pack vendor, साइट स्वामी, और लाइसेंस प्राप्त labs के लिए है। स्क्रिप्ट 127.0.0.1 से बात करती है। जिन सिस्टमों के आप स्वामी नहीं हैं उनके विरुद्ध इसका उपयोग Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null

टूल डाउनलोड करें