CVE-2026-89280
ŚrednieCVSS 4.3Streszczenie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa (wersje do 5.2.1 włącznie) jest podatna na Insecure Direct Object Reference poprzez parametr 'password' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami vendor może zmienić hasło do konta WordPress dowolnego klienta, który złożył co najmniej jedno zamówienie u tego vendora, co umożliwia przejęcie konta klienta.
Ocena ryzyka
Atakujący może przejąć konta klientów, logując się jako oni, co może prowadzić do nieautoryzowanego dostępu do danych i działań w ich imieniu.
Rekomendacja
Zaktualizuj wtyczkę Dokan do wersji nowszej niż 5.2.1, a jeśli to niemożliwe, rozważ wyłączenie publicznej rejestracji vendorów do czasu wdrożenia poprawki.
Inne podatności w Dokan
Zobacz wszystkie- CVE-2026-107694Niskie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.2.0 nie weryfikuje, czy sprzedawca, dla którego żądane jest obliczenie prowizji, jest tym samym sprzedawcą, który wysyła żądanie, co pozwala sprzedawcom na ujawnienie stawki prowizji i stałej opłaty skonfigurowanych przez administratora rynku dla innych sprzedawców.
- CVE-2026-16577Niskie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie waliduje kwoty płatności dostarczonej przez klienta względem rzeczywistego salda zaległości sprzedawcy podczas rejestrowania płatności odwrotnego wypłaty, co pozwala sprzedawcy na uznanie swojego rejestru odwrotnych wypłat dowolną kwotą i wyzerowanie rzeczywistego długu prowizyjnego bez płacenia.
- CVE-2026-16576Wysokie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nieprawidłowo sprawdza uprawnienia użytkowników na niektórych trasach API REST administratora, sprawdzając tylko uprawnienie zarządzania WooCommerce zamiast uprawnienia instalacji wtyczki, co pozwala użytkownikom takim jak Menedżerowie Sklepu na instalowanie i aktywowanie dowolnych wtyczek z WordPress.org.
- CVE-2026-16575Średnie
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa przed wersją 5.0.14 nie ogranicza dostępu do konfiguracji prowizji dla poszczególnych sprzedawców, zwracanej przez jeden z nieuwierzytelnionych punktów końcowych REST sklepu, co pozwala każdemu nieuwierzytelnionemu użytkownikowi na ujawnienie typu prowizji sprzedawcy oraz, gdy skonfigurowano prowizję opartą na kategoriach, stawek prowizji dla kategorii i domyślnych.
- CVE-2026-66699Średnie
Podatność na obejście kontroli dostępu (Broken Access Control) z poziomu niestandardowej roli we wtyczce Dokan (wersje do 5.0.10) pozwala użytkownikowi z niestandardową rolą na uzyskanie dostępu do funkcji lub danych, do których nie powinien mieć uprawnień.
- CVE-2026-8761Wysokie
Wtyczka Dokan dla WordPressa do wersji 5.0.1 włącznie jest podatna na eskalację uprawnień z powodu braku kontroli autoryzacji w kontrolerze REST `CustomersController`. Rejestruje on trasy CRUD WooCommerce pod przestrzenią `/dokan/v1/customers/` i zastępuje natywną kontrolę uprawnień `manage_woocommerce` kontrolą tylko dla sprzedawców, która sprawdza rolę żądającego użytkownika, ale nie waliduje docelowego użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie Sprzedawcy lub wyższym mogą odczytywać, modyfikować lub usuwać dowolnych użytkowników WordPressa, w tym administratorów, przez żądania GET/PUT/DELETE do `/wp-json/dokan/v1/customers/{id}`. Ustawienie parametru `password` na koncie administratora prowadzi do pełnego przejęcia witryny.
- CVE-2026-57706Wysokie
Wtyczka Dokan dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.0.6 włącznie.
- CVE-2026-11987Średnie
Wtyczka Dokan dla WordPressa do 5.0.4 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'id'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą odczytywać produkty innych sprzedawców, w tym nieopublikowane szkice i oczekujące ogłoszenia.
- CVE-2026-11783Średnie
Wtyczka Dokan dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez pole SKU produktu. Podatność występuje we wszystkich wersjach do 5.0.4 włącznie z powodu niewystarczającej sanitacji danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania strony przez innych użytkowników.
- CVE-2026-49780Wysokie
Wersje Dokan do 5.0.2 zawierają lukę, która umożliwia eskalację uprawnień klientów.
Oryginalny opis (angielski, źródło NVD)
The Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 5.2.1 via the 'password' parameter due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with custom-level access and above, to change the WordPress account password of any customer who has placed at least one order with the attacking vendor, enabling login as that customer and resulting in a limited account takeover. Vendor-level access, required to exploit this vulnerability, can be self-registered through the public 'I am a vendor' registration flow when that option is enabled on the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS