CVE-2026-107694

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie waliduje kwoty płatności dostarczonej przez klienta względem rzeczywistego salda zaległości sprzedawcy podczas rejestrowania płatności odwrotnego wypłaty, co pozwala sprzedawcy na uznanie swojego rejestru odwrotnych wypłat dowolną kwotą i wyzerowanie rzeczywistego długu prowizyjnego bez płacenia.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nieprawidłowo sprawdza uprawnienia użytkowników na niektórych trasach API REST administratora, sprawdzając tylko uprawnienie zarządzania WooCommerce zamiast uprawnienia instalacji wtyczki, co pozwala użytkownikom takim jak Menedżerowie Sklepu na instalowanie i aktywowanie dowolnych wtyczek z WordPress.org.

Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie ogranicza dostępu do konfiguracji prowizji dla poszczególnych sprzedawców, zwracanej przez jeden z nieuwierzytelnionych punktów końcowych REST sklepu, co pozwala każdemu nieuwierzytelnionemu użytkownikowi na ujawnienie typu prowizji sprzedawcy oraz, gdy skonfigurowano prowizję opartą na kategoriach, stawek prowizji dla kategorii i domyślnych.

Podatność na obejście kontroli dostępu (Broken Access Control) z poziomu niestandardowej roli we wtyczce Dokan (wersje do 5.0.10) pozwala użytkownikowi z niestandardową rolą na uzyskanie dostępu do funkcji lub danych, do których nie powinien mieć uprawnień.

Wtyczka Dokan dla WordPressa do wersji 5.0.1 włącznie jest podatna na eskalację uprawnień z powodu braku kontroli autoryzacji w kontrolerze REST `CustomersController`. Rejestruje on trasy CRUD WooCommerce pod przestrzenią `/dokan/v1/customers/` i zastępuje natywną kontrolę uprawnień `manage_woocommerce` kontrolą tylko dla sprzedawców, która sprawdza rolę żądającego użytkownika, ale nie waliduje docelowego użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Sprzedawcy lub wyższym mogą odczytywać, modyfikować lub usuwać dowolnych użytkowników WordPressa, w tym administratorów, przez żądania GET/PUT/DELETE do `/wp-json/dokan/v1/customers/{id}`. Ustawienie parametru `password` na koncie administratora prowadzi do pełnego przejęcia witryny.

Wtyczka Dokan dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.0.6 włącznie.

Wtyczka Dokan dla WordPressa do 5.0.4 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'id'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą odczytywać produkty innych sprzedawców, w tym nieopublikowane szkice i oczekujące ogłoszenia.

Wtyczka Dokan dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole SKU produktu. Podatność występuje we wszystkich wersjach do 5.0.4 włącznie z powodu niewystarczającej sanitacji danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania strony przez innych użytkowników.

Wersje Dokan do 5.0.2 zawierają lukę, która umożliwia eskalację uprawnień klientów.