CVE-2026-8761
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka Dokan dla WordPressa do wersji 5.0.1 włącznie jest podatna na eskalację uprawnień z powodu braku kontroli autoryzacji w kontrolerze REST `CustomersController`. Rejestruje on trasy CRUD WooCommerce pod przestrzenią `/dokan/v1/customers/` i zastępuje natywną kontrolę uprawnień `manage_woocommerce` kontrolą tylko dla sprzedawców, która sprawdza rolę żądającego użytkownika, ale nie waliduje docelowego użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Sprzedawcy lub wyższym mogą odczytywać, modyfikować lub usuwać dowolnych użytkowników WordPressa, w tym administratorów, przez żądania GET/PUT/DELETE do `/wp-json/dokan/v1/customers/{id}`. Ustawienie parametru `password` na koncie administratora prowadzi do pełnego przejęcia witryny.
Ocena ryzyka
Atakujący może przejąć konta administratorów, co prowadzi do pełnej kompromitacji witryny, kradzieży danych i instalacji złośliwego oprogramowania. Może to również umożliwić trwały backdoor i eskalację uprawnień.
Rekomendacja
Zaktualizuj wtyczkę Dokan do najnowszej wersji z poprawkami. Ogranicz uprawnienia sprzedawców i wdróż dodatkowe kontrole autoryzacji.
Inne podatności w Dokan
Zobacz wszystkie- CVE-2026-16577Niskie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie waliduje kwoty płatności dostarczonej przez klienta względem rzeczywistego salda zaległości sprzedawcy podczas rejestrowania płatności odwrotnego wypłaty, co pozwala sprzedawcy na uznanie swojego rejestru odwrotnych wypłat dowolną kwotą i wyzerowanie rzeczywistego długu prowizyjnego bez płacenia.
- CVE-2026-16576Wysokie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nieprawidłowo sprawdza uprawnienia użytkowników na niektórych trasach API REST administratora, sprawdzając tylko uprawnienie zarządzania WooCommerce zamiast uprawnienia instalacji wtyczki, co pozwala użytkownikom takim jak Menedżerowie Sklepu na instalowanie i aktywowanie dowolnych wtyczek z WordPress.org.
- CVE-2026-16575Średnie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie ogranicza dostępu do konfiguracji prowizji dla poszczególnych sprzedawców, zwracanej przez jeden z nieuwierzytelnionych punktów końcowych REST sklepu, co pozwala każdemu nieuwierzytelnionemu użytkownikowi na ujawnienie typu prowizji sprzedawcy oraz, gdy skonfigurowano prowizję opartą na kategoriach, stawek prowizji dla kategorii i domyślnych.
- CVE-2026-66699Średnie
Podatność na obejście kontroli dostępu (Broken Access Control) z poziomu niestandardowej roli we wtyczce Dokan (wersje do 5.0.10) pozwala użytkownikowi z niestandardową rolą na uzyskanie dostępu do funkcji lub danych, do których nie powinien mieć uprawnień.
- CVE-2026-57706Wysokie
Wtyczka Dokan dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.0.6 włącznie.
- CVE-2026-11987Średnie
Wtyczka Dokan dla WordPressa do 5.0.4 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'id'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą odczytywać produkty innych sprzedawców, w tym nieopublikowane szkice i oczekujące ogłoszenia.
- CVE-2026-11783Średnie
Wtyczka Dokan dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole SKU produktu. Podatność występuje we wszystkich wersjach do 5.0.4 włącznie z powodu niewystarczającej sanitacji danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania strony przez innych użytkowników.
- CVE-2026-49780Wysokie
Wersje Dokan do 5.0.2 zawierają lukę, która umożliwia eskalację uprawnień klientów.
Oryginalny opis (angielski, źródło NVD)
The Dokan plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 5.0.1. This is due to a missing authorization check in the `CustomersController` REST controller (`includes/REST/CustomersController.php`), which re-registers WooCommerce's customer CRUD routes under the `/dokan/v1/customers/` namespace and replaces WooCommerce's native `manage_woocommerce` capability check with a vendor-only check that inspects the **requesting** user's role and never validates the **target** user. This makes it possible for authenticated attackers with Vendor/Seller-level access and above to read, modify, or delete any WordPress user — including administrators — via `GET`/`PUT`/`DELETE` requests against `/wp-json/dokan/v1/customers/{id}`. Setting the `password` parameter on an administrator's record yields a full site takeover.