T4G0

**Nome do Software Vulnerável e Versões Afetadas** Mstore Api plugin for WordPress versões anteriores a 4.20.1 **Description** Existe uma falha de bypass de autenticação via falsificação de JWT (JSON Web Token). O problema ocorre na função `FirebasePhoneAuthHelper::verify id token()`, que valida as reivindicações do token como `alg`, `kid`, `aud` e `iss`, mas não realiza a verificação da assinatura criptográfica utilizando `openssl verify()` ou método equivalente contra os certificados de chave pública do Google. Isso permite que atacantes não autenticados utilizem um par de chaves RSA gerado por eles mesmos para falsificar um JWT do Firebase Phone Auth e personificar qualquer número de telefone, resultando em acesso não autorizado a contas existentes ou na criação de novas contas arbitrárias. **Recommendations** Atualize o Mstore Api plugin for WordPress para uma versão posterior a 4.20.0.