Уразливість обходу автентифікації в плагіні Mstore Api для WordPress (CVE-2026-13447)

Що відомо

Плагін Mstore Api для WordPress версій до 4.20.0 включно має критичну уразливість обходу автентифікації через підробку JWT. Відсутність перевірки криптографічного підпису Firebase ID токена дозволяє зловмисникам імітувати будь-який номер телефону та отримувати несанкціонований доступ до облікових записів.

Бізнес-вплив

Ця уразливість дозволяє неавторизованим користувачам створювати або отримувати доступ до облікових записів WordPress, що може призвести до компрометації сайту, втрати даних та порушення безпеки користувачів. Власники інфраструктури повинні розглядати цю загрозу як критичну через високий рівень ризику несанкціонованого доступу.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна Mstore Api від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до функцій автентифікації, провести аудит логів на предмет підозрілої активності та зменшити мережеву експозицію сайту. Для подальшої підтримки безпеки рекомендуємо звернутися до DataHouse для перевірки версій, управління патчами та аналізу журналів безпеки.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference