CVE-2026-11783
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Dokan dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole SKU produktu. Podatność występuje we wszystkich wersjach do 5.0.4 włącznie z powodu niewystarczającej sanitacji danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania strony przez innych użytkowników.
Ocena ryzyka
Ryzyko polega na tym, że złośliwy ładunek jest dostarczany do odwiedzających stronę, w tym niezalogowanych użytkowników, gdy widżet wyszukiwania sklepu wstawia niezakodowany HTML odpowiedzi AJAX do DOM. Może to prowadzić do kradzieży sesji, przekierowań do złośliwych stron lub kradzieży danych wrażliwych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Dokan do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą. Należy również ograniczyć uprawnienia użytkowników z dostępem custom i regularnie audytować role oraz możliwości wtyczki.
Inne podatności w Dokan
Zobacz wszystkie- CVE-2026-16577Niskie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie waliduje kwoty płatności dostarczonej przez klienta względem rzeczywistego salda zaległości sprzedawcy podczas rejestrowania płatności odwrotnego wypłaty, co pozwala sprzedawcy na uznanie swojego rejestru odwrotnych wypłat dowolną kwotą i wyzerowanie rzeczywistego długu prowizyjnego bez płacenia.
- CVE-2026-16576Wysokie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nieprawidłowo sprawdza uprawnienia użytkowników na niektórych trasach API REST administratora, sprawdzając tylko uprawnienie zarządzania WooCommerce zamiast uprawnienia instalacji wtyczki, co pozwala użytkownikom takim jak Menedżerowie Sklepu na instalowanie i aktywowanie dowolnych wtyczek z WordPress.org.
- CVE-2026-16575Średnie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie ogranicza dostępu do konfiguracji prowizji dla poszczególnych sprzedawców, zwracanej przez jeden z nieuwierzytelnionych punktów końcowych REST sklepu, co pozwala każdemu nieuwierzytelnionemu użytkownikowi na ujawnienie typu prowizji sprzedawcy oraz, gdy skonfigurowano prowizję opartą na kategoriach, stawek prowizji dla kategorii i domyślnych.
- CVE-2026-66699Średnie
Podatność na obejście kontroli dostępu (Broken Access Control) z poziomu niestandardowej roli we wtyczce Dokan (wersje do 5.0.10) pozwala użytkownikowi z niestandardową rolą na uzyskanie dostępu do funkcji lub danych, do których nie powinien mieć uprawnień.
- CVE-2026-8761Wysokie
Wtyczka Dokan dla WordPressa do wersji 5.0.1 włącznie jest podatna na eskalację uprawnień z powodu braku kontroli autoryzacji w kontrolerze REST `CustomersController`. Rejestruje on trasy CRUD WooCommerce pod przestrzenią `/dokan/v1/customers/` i zastępuje natywną kontrolę uprawnień `manage_woocommerce` kontrolą tylko dla sprzedawców, która sprawdza rolę żądającego użytkownika, ale nie waliduje docelowego użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Sprzedawcy lub wyższym mogą odczytywać, modyfikować lub usuwać dowolnych użytkowników WordPressa, w tym administratorów, przez żądania GET/PUT/DELETE do `/wp-json/dokan/v1/customers/{id}`. Ustawienie parametru `password` na koncie administratora prowadzi do pełnego przejęcia witryny.
- CVE-2026-57706Wysokie
Wtyczka Dokan dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.0.6 włącznie.
- CVE-2026-11987Średnie
Wtyczka Dokan dla WordPressa do 5.0.4 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'id'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą odczytywać produkty innych sprzedawców, w tym nieopublikowane szkice i oczekujące ogłoszenia.
- CVE-2026-49780Wysokie
Wersje Dokan do 5.0.2 zawierają lukę, która umożliwia eskalację uprawnień klientów.
Oryginalny opis (angielski, źródło NVD)
The Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Product SKU in all versions up to, and including, 5.0.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The malicious payload is delivered to site visitors — including unauthenticated users — when the store search widget inserts the unescaped AJAX response HTML into the DOM via jQuery's .html() method.