CVE-2026-65494
WysokieCVSS 7.1Streszczenie
Wtyczka Dokan Pro w wersjach do 5.0.2 zawiera podatność na wstrzyknięcie SQL (SQL Injection) z poziomu subskrybenta. Atakujący z uprawnieniami subskrybenta może manipulować zapytaniami do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości odczytu, modyfikacji lub usunięcia danych z bazy danych, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację wtyczki Dokan Pro do wersji powyżej 5.0.2, która zawiera poprawkę eliminującą podatność SQL Injection.
Inne podatności w Dokan Pro
Zobacz wszystkie- CVE-2026-65495Wysokie
Wtyczka Dokan Pro w wersjach do 5.0.3 zawiera podatność na nieuwierzytelniony złamany mechanizm kontroli dostępu (Broken Access Control). Atakujący może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-65493Wysokie
Wtyczka Dokan Pro w wersji 5.0.2 i starszych umożliwia subskrybentowi wstrzyknięcie obiektu PHP. Atakujący z rolą subskrybenta może przesłać złośliwe dane, które zostaną zdeserializowane, prowadząc do zdalnego wykonania kodu.
- CVE-2026-65492Wysokie
Wtyczka Dokan Pro w wersji 5.0.0 i starszych zawiera podatność na atak XSS (Cross Site Scripting) bez wymaganego uwierzytelnienia. Niezalogowany atakujący może wstrzyknąć złośliwy skrypt JavaScript do strony.
- CVE-2026-12224Wysokie
Wtyczka Dokan Pro dla WordPressa jest podatna na eskalację uprawnień przez REST endpoint update_capabilities w wersjach do 5.0.4 włącznie. Brak walidacji dozwolonych uprawnień pozwala uwierzytelnionym atakującym z dostępem na poziomie Vendor lub wyższym na nadanie dowolnych uprawnień WordPressa, w tym administratora, kontom vendor_staff, co prowadzi do pełnego przejęcia strony.
- CVE-2026-12077Wysokie
Wtyczka Dokan Pro dla WordPressa jest podatna na czasową iniekcję SQL przez parametry 'latitude' i 'longitude' we wszystkich wersjach do 5.0.4 włącznie. Podatność wynika z niedostatecznego escapowania parametrów użytkownika i braku odpowiedniego przygotowania zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Subscriber SQL Injection in Dokan Pro <= 5.0.2 versions.