CVE-2026-16564
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution do WordPressa przed wersją 5.0.9 nie weryfikuje własności zamówienia w punkcie końcowym REST do masowej zmiany statusu zamówień. Użytkownicy z kontem sprzedawcy Dokan mogą zmieniać status dowolnego zamówienia WooCommerce, w tym zamówień innych sprzedawców i klientów sklepu.
Ocena ryzyka
Sprzedawca może zmienić status zamówień innych sprzedawców lub klientów, co może prowadzić do chaosu w realizacji zamówień i utraty zaufania klientów.
Rekomendacja
Należy zaktualizować wtyczkę Dokan do wersji 5.0.9 lub nowszej, która zawiera poprawkę weryfikującą własność zamówienia.
Inne podatności w Dokan WordPress plugin
Zobacz wszystkie- CVE-2026-16574Średnie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.11 nie weryfikuje, czy produkt do pobrania należy do żądającego sprzedawcy, zanim przyzna uprawnienia do pobierania przez jeden z punktów końcowych REST zamówień. Pozwala to uwierzytelnionemu sprzedawcy na przyznanie swojemu klientowi darmowego dostępu do płatnych plików do pobrania innego sprzedawcy.
- CVE-2026-16565Średnie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution do WordPressa przed wersją 5.0.9 nie weryfikuje własności produktu w punktach końcowych REST do modyfikacji atrybutów produktu. Użytkownicy z kontem sprzedawcy Dokan mogą modyfikować atrybuty produktów innych sprzedawców.
Oryginalny opis (angielski, źródło NVD)
The Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress plugin before 5.0.9 does not verify order ownership on a REST endpoint that performs bulk order-status changes, allowing users with a Dokan vendor account to modify the status of any WooCommerce order on the marketplace, including orders belonging to other vendors and the store's own customers.