WORDPRESS SECURITY

MStore APIに未認証のJWT偽造による認証回避脆弱性（CVE-2026-13447）

Critical

WordPressプラグイン「MStore API – Create Native Android & iOS Apps On The Cloud」の脆弱性情報（CVE-2026-13447）。影響バージョンは4.20.0以下。修正版 4.21.0 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: MStore API – Create Native Android & iOS Apps On The Cloud（プラグイン）
CVE: CVE-2026-13447
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 4.20.0以下
修正版: 4.21.0
脆弱性種別: 未認証の認証回避／JWT Forgery／アカウント乗っ取り

脆弱性の概要

MStore API 4.20.0以下では、Firebase Phone AuthのJWT署名検証が欠落しており、未認証攻撃者が偽造JWTで任意の電話番号を偽装し、既存WordPressアカウントへの不正アクセスや任意アカウント作成につなげられるCritical脆弱性があります。

技術的な内容

FirebasePhoneAuthHelper::verify_id_token() がalg、kid、aud、iss等のクレームを確認する一方、Google公開鍵による暗号学的なJWT署名検証を実施していないことが原因です。CVE評価はCVSS 9.8 Critical。WordPress.orgの4.21.0変更履歴ではFirebase JWTの署名・audience検証と鍵キャッシュの修正が明記されています。現時点で信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

MStore APIを4.21.0以上、可能であれば最新版へ直ちに更新してください。Firebase電話認証を利用している場合は、未知のユーザー作成、電話番号ベースの不審なログイン、権限変更を確認し、更新まで該当認証エンドポイントの停止またはアクセス制限を検討してください。

情報源

情報確認日時：2026年9月6日 12:14

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。