Podatności Dokan Pro

Wtyczka Dokan Pro w wersjach do 5.0.3 zawiera podatność na nieuwierzytelniony złamany mechanizm kontroli dostępu (Broken Access Control). Atakujący może uzyskać nieautoryzowany dostęp do funkcji lub danych.

Wtyczka Dokan Pro w wersjach do 5.0.2 zawiera podatność na wstrzyknięcie SQL (SQL Injection) z poziomu subskrybenta. Atakujący z uprawnieniami subskrybenta może manipulować zapytaniami do bazy danych.

Wtyczka Dokan Pro w wersji 5.0.2 i starszych umożliwia subskrybentowi wstrzyknięcie obiektu PHP. Atakujący z rolą subskrybenta może przesłać złośliwe dane, które zostaną zdeserializowane, prowadząc do zdalnego wykonania kodu.

Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony) w wtyczce weDevs Dokan Pro umożliwia odbity XSS. Problem dotyczy Dokan Pro w wersjach od n/a przed 5.0.7.

Wtyczka Dokan Pro dla WordPressa jest podatna na eskalację uprawnień przez REST endpoint update_capabilities w wersjach do 5.0.4 włącznie. Brak walidacji dozwolonych uprawnień pozwala uwierzytelnionym atakującym z dostępem na poziomie Vendor lub wyższym na nadanie dowolnych uprawnień WordPressa, w tym administratora, kontom vendor_staff, co prowadzi do pełnego przejęcia strony.

Wtyczka Dokan Pro dla WordPressa jest podatna na czasową iniekcję SQL przez parametry 'latitude' i 'longitude' we wszystkich wersjach do 5.0.4 włącznie. Podatność wynika z niedostatecznego escapowania parametrów użytkownika i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka Dokan Pro do WordPressa zawiera podatność Cross-Site Scripting (XSS) typu Stored, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wszystkich wersji do 3.14.5 włącznie.

Wtyczka Dokan Pro dla WordPressa jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API `/dokan/v1/wholesale/register` we wszystkich wersjach do 4.1.3 włącznie. Nieuwierzytelnieni atakujący mogą wyliczać użytkowników i pobierać ich adresy e-mail oraz inne informacje, takie jak nazwy użytkowników, wyświetlane nazwy, role i daty rejestracji, podając identyfikator użytkownika.