CVE-2026-13447: Kritisk fejl i Mstore Api til WordPress
Mstore Api-pluginet til WordPress kan snydes med forfalskede login-tokens. Opdatér eller deaktivér pluginet nu.
Hvad er det?
CVE-2026-13447 er en sårbarhed i WordPress-pluginet Mstore Api, der bruges til at koble webshops sammen med mobilapps via Firebase-telefonlogin. Fejlen ligger i funktionen FirebasePhoneAuthHelper::verify_id_token(), som læser indholdet af en JWT, et digitalt underskrevet adgangstoken, men aldrig tjekker om underskriften faktisk stammer fra Google. En angriber kan derfor selv lave en gyldig-udseende token med sit eget nøglepar og udgive sig for en hvilken som helst telefonbruger uden at kende adgangskoder eller have adgang til telefonen.
Hvem rammer det?
Alle WordPress-installationer med Mstore Api installeret i version 4.20.0 eller tidligere. Det gælder typisk danske webshops eller virksomheder, der har en tilhørende mobilapp med login via telefonnummer og Firebase. Både WooCommerce-baserede butikker og andre sites, der bruger pluginet som API-lag mellem app og WordPress, er berørt.
Hvad kan ske?
En angriber kan forfalske en Firebase-token og logge ind som en eksisterende kunde eller administrator uden at kende adgangskode. Det giver adgang til kundedata, ordrer og betalingsoplysninger, og i værste fald mulighed for at oprette en administratorkonto og overtage hele websitet. Da angrebet kan udføres uden login og uden brugerinteraktion, kan det ske automatiseret og i stor skala.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen adgangskode, ingen forudgående adgang og ingen handling fra en bruger. Det kan udføres over internettet mod enhver sårbar installation. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning, fordi angriberen potentielt får fuld kontrol over konti og data.
Hvad gør jeg nu?
Prioritér opdatering af pluginet, da det lukker selve hullet. De øvrige punkter handler om at afdække og begrænse skade, hvis fejlen allerede er udnyttet.
- Opdatér Mstore Api til den nyeste tilgængelige version, eller deaktivér pluginet midlertidigt, hvis ingen rettet version findes endnu.
- Gennemgå brugerlisten for nyoprettede eller uventede administratorkonti.
- Skift adgangskoder og nøgler for administratorer samt API-nøgler knyttet til Firebase-integrationen.
- Gennemgå logfiler for login-forsøg via telefonnummer i perioden op til opdateringen.
- Overvej at spærre eller overvåge trafik til API-endepunktet for telefonlogin, indtil pluginet er opdateret.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I er i tvivl om, hvorvidt jeres installation er ramt.
Opdatér inden for 24 timer
Vi anbefaler, at I straks tjekker om Mstore Api er installeret, og at I deaktiverer pluginet, indtil en rettet version er tilgængelig. Er pluginet en kritisk del af jeres app-løsning, bør I midlertidigt blokere adgangen til Firebase-login-endepunktet fra internettet. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da fejlen kan udnyttes uden login og uden brugerhandling.
Tidslinje
Konkrete eksempler
Webshop med mobilapp og telefonlogin
En dansk webshop bruger Mstore Api til at koble sin WooCommerce-butik sammen med en mobilapp, hvor kunder logger ind med telefonnummer via Firebase. En angriber genererer selv en JWT-token, der udgiver sig for at være en eksisterende kunde med et gyldigt medlemsniveau, og får adgang til kundens ordrehistorik og gemte adresser. Med samme metode forsøger angriberen efterfølgende at udgive sig for en administrator og oprette en ny bruger med fuld adgang til butikkens indstillinger.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Mstore Api?
Gå ind under Plugins i WordPress-administrationen og søg efter Mstore Api. Tjek versionsnummeret der. Er det 4.20.0 eller lavere, er I berørt.
Kan vi vente til efter weekenden med at opdatere?
Nej. Sårbarheden kræver hverken login eller brugerhandling, og angrebet kan udføres automatiseret over internettet. Vi anbefaler at handle samme dag, sårbarheden opdages.
Hvordan ved vi, om vi allerede er blevet angrebet?
Se efter uventede administratorkonti, kunder med ændrede kontaktoplysninger eller usædvanlig aktivitet i ordre- og kundedata omkring datoer, hvor sårbarheden var kendt. Log for API-kald til telefonlogin bør også gennemgås.
Er der en rettet version af pluginet?
Der er ikke oplyst en rettet version på offentliggørelsestidspunktet. Følg pluginets ændringslog, og deaktivér pluginet indtil en opdatering er udgivet.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Har I opdaget uautoriseret adgang til personoplysninger eller kundedata, skal I vurdere, om det udløser anmeldepligt efter databeskyttelsesforordningen til Datatilsynet inden for 72 timer.
Rammer dette kun WooCommerce-webshops?
Nej. Sårbarheden ligger i selve Mstore Api-pluginet og rammer alle WordPress-installationer med pluginet installeret, uanset om WooCommerce bruges til salg.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Mstore Api plugin for WordPress is vulnerable to Authentication Bypass via JWT Forgery in versions up to, and including, 4.20.0 This is due to missing cryptographic signature verification in the FirebasePhoneAuthHelper::verify_id_token() function, which decodes and validates Firebase ID token claims (alg, kid, aud, iss) but never calls openssl_verify() or any equivalent to validate the JWT signature against Google’s actual public key certificates. This makes it possible for unauthenticated attackers to forge a Firebase Phone Auth JWT signed with a self-generated RSA key pair and impersonate any phone number, resulting in unauthorized access to existing WordPress accounts or creation of new arbitrary accounts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.