2026-10-16 11:04:01 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

WordPress插件MStore API存在认证绕过漏洞(POC已公开)CVE-2026-13447

YGnight
YGnight

night安全

2026年9月22日 08:00
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞描述

MStore API 是 inspireui 给 WordPress 做的插件，把站点里的商品、用户、订单接到 FluxBuilder，用来生成配套的手机 App。WordPress 官方目录显示活跃安装两千以上。

出事的是短信登录。

插件在 /wp-json/api/flutter\_user 下注册了 firebase\_sms 与 firebase\_sms\_v2 两条路径，都接收 POST 过来的 id\_token。

整个请求过程不要求 WordPress 账号。

路由的权限回调指向 checkApiPermission，内部只剩一句 return true，原先读取采购码并比对哈希的那几行被注释保留着。

令牌校验集中在 FirebasePhoneAuthHelper 的 verify\_id\_token，只取前两段，比对 alg、kid、aud、iss 四项。

openssl\_verify 之类的验签调用不在这条路径上，用自建 RSA 密钥签发的一条令牌照样被接受。

CVE 编号 CVE-2026-13447，归类 CWE-287。CVSS 3.1 打分 9.8，由 CVE 记录中的 CNA 提交，NVD 一栏没有给出自己的分值。

受影响区间记为 ≤ 4.20.0。官方 SVN 里 4.18.4 之后直接是 4.21.1，修复落在 4.21.1。

公开的验证脚本只连本地 127.0.0.1，容器编排文件随复现仓库一起给出，命中标记是响应体里出现目标账号的显示名。


CVE 编号	CVE-2026-13447
公告编号	GHSA-6wfp-pwm3-667v
漏洞类型	JWT 伪造导致的认证绕过，CWE-287
影响组件	WordPress 插件 MStore API 的 FirebasePhoneAuthHelper，firebase\_sms 与 firebase\_sms\_v2 两条 REST 路径
受影响版本	≤ 4.20.0
修复版本	4.21.1 及更高
利用条件	无需认证，无需用户交互，需要预先知道站点配置的 Firebase project\_id
危害面	冒用任意手机号登录已有账号并取回登录 Cookie，firebase\_sms 一侧另可建新账号
CVSS	9.8，CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H，NVD 未给出自有分值

二、漏洞原理

firebase\_sms\_v2 的 permission\_callback 指向 checkApiPermission，这条路最终落到 isPurchaseCodeVerified。

// controllers/flutter-user.php 4.18.4
register\_rest\_route($this->namespace, '/firebase\_sms\_v2', array(
array(
'methods' => 'POST',
'callback' => function ($request) {
$phone = $this->firebase\_sms\_verify\_id\_token($request);
if (is\_wp\_error($phone)) { return $phone; }
return $this->firebase\_sms\_login\_v2($phone);
},
'permission\_callback' => function () {
return parent::checkApiPermission();
}
),
));

// controllers/flutter-base.php 4.18.4
public function checkApiPermission()
{
return isPurchaseCodeVerified();
}

// functions/index.php 4.18.4
function isPurchaseCodeVerified(){
return true;
// $random\_key = get\_option('mstore\_active\_random\_key');
// $hash\_code = get\_option('mstore\_active\_hash\_code');
// return md5('inspire@123%$'.$random\_key) == $hash\_code && strlen($code) > 0;
}

函数体第一行就是 return true，授权码比对的那段代码被留在注释里。

请求体由 firebase\_sms\_verify\_id\_token 从 php://input 读出，交给 verify\_id\_token。

// controllers/helpers/firebase-phone-auth-helper.php 4.18.4
public function verify\_id\_token($id\_token){
$splitToken = explode(\".\", $id\_token);
$headerBase64 = $splitToken[0];
$decodedHeader = json\_decode(urldecode(base64\_decode($headerBase64)), true);

if (!isset($decodedHeader['alg']) || $decodedHeader['alg'] != 'RS256') {
return false;
}

$public\_keys = $this->get\_public\_keys();
if (!isset($decodedHeader['kid']) || !in\_array($decodedHeader['kid'], $public\_keys)) {
return false;
}

$payloadBase64 = $splitToken[1];
$decodedPayload = json\_decode(urldecode(base64\_decode($payloadBase64)), true);
$projectId = $json['project\_id'];

if (!isset($decodedPayload['aud']) || $decodedPayload['aud'] !== $projectId) {
return false;
}

if (!isset($decodedPayload['iss']) || $decodedPayload['iss'] !== 'https://securetoken.google.com/'.$projectId) {
return false;
}

return isset($decodedPayload['phone\_number']) ? trim($decodedPayload['phone\_number']) : false;
// $splitToken[2] 全文没有再出现过
}

// 公开验证脚本构造的令牌，第三段是 base64 编码的字母 x
id\_token = eyJhbGciOiJSUzI1NiIsImtpZCI6... . eyJhdWQiOi... . eA==
// 前两段凑齐 kid、aud、iss、phone\_number 四处取值即可

explode 按点号把令牌切成三段，下标 0 和 1 之后就没人再往下取。

get\_public\_keys 拉 Google 公布的 x509 元数据，返回 array\_keys 的结果，证书内容只被当成一串 kid 字符串比对。

project\_id 读自站点管理员上传的那份 Firebase 配置，aud 与 iss 要跟它一致，这两项需要预先知道。

四项都过，函数就把那个手机号交回去，第三段的内容不影响结果。

拿到手机号后，firebase\_sms\_login\_v2 去元信息 registered\_phone\_number 查人，命中了就签发登录 Cookie。

// controllers/flutter-user.php 4.18.4 firebase\_sms\_login\_v2 片段
$args = array('meta\_key' => 'registered\_phone\_number', 'meta\_value' => $phone);
$search\_users = get\_users($args);
if (empty($search\_users)) {
$domain = $\_SERVER['SERVER\_NAME'];
$user = get\_user\_by('email', $phone . \"@\" . $domain);
if (!$user) {
return parent::sendError(\"invalid\_login\", \"User does not exist\", 400);
}
}
$user = $search\_users[0];
$cookie = generateCookieByUserId($user->ID);
$response['cookie'] = $cookie;
$response['user'] = $this->getResponseUserInfo($user);

// functions/index.php 4.18.4
function generateCookieByUserId($user\_id, $seconds = 1209600){
$expiration = time() + 365 \* DAY\_IN\_SECONDS;
$cookie = wp\_generate\_auth\_cookie($user\_id, $expiration, 'logged\_in');
return $cookie;
}

第二个参数收进来就放着没用，有效期在下一行写死成 365 天，发出去的是 WordPress 登录态 Cookie。

另一条路径 firebase\_sms 落在 firebase\_sms\_login，最后走到 createSocialAccount，手机号拼一个邮箱交给 wp\_insert\_user。

userdata 数组里不带 role 键，新建账号继承站点默认角色。

4.21.1 换成了 firebase/php-jwt 的 JWT::decode。

// controllers/helpers/firebase-phone-auth-helper.php 4.21.1
$key\_objects = [];
foreach ($public\_keys as $kid => $key) {
$key\_objects[$kid] = new Key($key, 'RS256');
}

$decoded\_token = JWT::decode($id\_token, $key\_objects);

if ($decoded\_token->aud !== $actual\_project\_id) {
return new WP\_Error('firebase\_auth\_error', 'Invalid token audience.', array('status' => 401));
}
if (!isset($decoded\_token->auth\_time) || $decoded\_token->auth\_time > time()) {
return new WP\_Error('firebase\_auth\_error', 'Invalid auth\_time.', array('status' => 401));
}
return trim($decoded\_token->phone\_number);

公钥按 kid 组装成 Key 对象交给库，验签连同过期时间与生效时间一起交给 JWT::decode 处理。

补丁里还留了一段注释。旧版本的 urldecode 先把号码里的加号转成空格，随后 trim 又把首尾清掉，老版本建的账号只剩纯数字。

新版按标准 base64url 解码，加号保留下来，查号时带加号和不带加号两种写法各试一遍，回头客不会再被当成新号。