CVE-2026-12077
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Dokan Pro dla WordPressa jest podatna na czasową iniekcję SQL przez parametry 'latitude' i 'longitude' we wszystkich wersjach do 5.0.4 włącznie. Podatność wynika z niedostatecznego escapowania parametrów użytkownika i braku odpowiedniego przygotowania zapytania SQL.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą dołączać dodatkowe zapytania SQL do istniejących, co umożliwia wyodrębnienie wrażliwych informacji z bazy danych, takich jak dane użytkowników czy hasła.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Dokan Pro do wersji nowszej niż 5.0.4 oraz wdrożenie zapór aplikacyjnych (WAF) blokujących podejrzane zapytania SQL.
Inne podatności w Dokan Pro
Zobacz wszystkie- CVE-2026-65495Wysokie
Wtyczka Dokan Pro w wersjach do 5.0.3 zawiera podatność na nieuwierzytelniony złamany mechanizm kontroli dostępu (Broken Access Control). Atakujący może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-65494Wysokie
Wtyczka Dokan Pro w wersjach do 5.0.2 zawiera podatność na wstrzyknięcie SQL (SQL Injection) z poziomu subskrybenta. Atakujący z uprawnieniami subskrybenta może manipulować zapytaniami do bazy danych.
- CVE-2026-65493Wysokie
Wtyczka Dokan Pro w wersji 5.0.2 i starszych umożliwia subskrybentowi wstrzyknięcie obiektu PHP. Atakujący z rolą subskrybenta może przesłać złośliwe dane, które zostaną zdeserializowane, prowadząc do zdalnego wykonania kodu.
- CVE-2026-65492Wysokie
Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony) w wtyczce weDevs Dokan Pro umożliwia odbity XSS. Problem dotyczy Dokan Pro w wersjach od n/a przed 5.0.7.
- CVE-2026-12224Wysokie
Wtyczka Dokan Pro dla WordPressa jest podatna na eskalację uprawnień przez REST endpoint update_capabilities w wersjach do 5.0.4 włącznie. Brak walidacji dozwolonych uprawnień pozwala uwierzytelnionym atakującym z dostępem na poziomie Vendor lub wyższym na nadanie dowolnych uprawnień WordPressa, w tym administratora, kontom vendor_staff, co prowadzi do pełnego przejęcia strony.
- CVE-2025-39497Średnie
Wtyczka Dokan Pro do WordPressa zawiera podatność Cross-Site Scripting (XSS) typu Stored, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wszystkich wersji do 3.14.5 włącznie.
- CVE-2025-12809Średnie
Wtyczka Dokan Pro dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API `/dokan/v1/wholesale/register` we wszystkich wersjach do 4.1.3 włącznie. Nieuwierzytelnieni atakujący mogą wyliczać użytkowników i pobierać ich adresy e-mail oraz inne informacje, takie jak nazwy użytkowników, wyświetlane nazwy, role i daty rejestracji, podając identyfikator użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Dokan Pro plugin for WordPress is vulnerable to time-based SQL Injection via the via 'latitude' and 'longitude' parameters in all versions up to, and including, 5.0.4 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS