CVE-2026-13447

总结

WordPress 的 Mstore Api 插件在 4.20.0 及之前版本中存在通过 JWT 伪造进行身份验证绕过的漏洞。这是由于 FirebasePhoneAuthHelper::verify_id_token() 函数中缺少加密签名验证，该函数会解码并验证 Firebase ID 令牌声明（alg、kid、aud、iss），但从未调用 openssl_verify() 或任何等效方法来根据 Google 的实际公钥证书验证 JWT 签名。这使得未经身份验证的攻击者能够伪造使用自行生成的 RSA 密钥对签名的 Firebase Phone Auth JWT，并冒充任意电话号码，从而导致未经授权访问现有 WordPress 账户或创建新的任意账户。

• CVE-2026-13447PoC

  针对 CVE-2026-13447 的概念验证漏洞利用，该漏洞是 WordPress MStore API 插件中通过伪造 Firebase JWT 令牌实现的严重身份验证绕过，并包含本地实验环境复现。