CVE-2024-6328

Plugin MStore API – Create Native Android & iOS Apps On The Cloud para o WordPress, versões até a 4.14.7, inclusive

O problema se deve à verificação insuficiente do parâmetro phone nas funções firebase sms login e firebase sms login v2. Isso permite que invasores não autenticados façam login como qualquer usuário existente, como um administrador, caso tenham acesso ao endereço de e-mail ou número de telefone. Além disso, se um novo endereço de e-mail for fornecido, uma nova conta de usuário é criada com a função padrão, mesmo que o registro esteja desativado.

Para versões até a 4.14.7, inclusive, atualize para uma versão posterior à 4.14.7 para resolver o problema. Como solução temporária, considere desativar as funções firebase sms login e firebase sms login v2 até que um patch esteja disponível. Restrinja o acesso ao parâmetro phone para minimizar o risco de exploração.