CVE-2026-11987
Açıklama
WordPress için geliştirilen Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, eBay, Etsy eklentisinin 5.0.4 dahil tüm sürümleri, kullanıcı kontrollü bir anahtar üzerindeki doğrulama eksikliği nedeniyle 'id' parametresi üzerinden Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum; abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, yayınlanmamış taslaklar ve beklemede olan listelemeler de dahil olmak üzere diğer satıcıların ürünlerini okumasına; böylece diğer satıcılara ait ürün adlarını, fiyatları, SKU'ları ve açıklamaları ifşa etmesine olanak tanır. Hem koleksiyon uç noktası hem de tek öğe uç noktası için izin geri çağırmaları (permission callbacks), talep edilen yazar ID'sinin veya ürün sahipliğinin kimliği doğrulanmış kullanıcıyla eşleştiğini onaylamak yerine, yalnızca her satıcının sahip olduğu genel satıcı yeteneğini ('dokan_view_product_menu' / 'dokandar') doğrulamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dokaninc Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy | v ≤ 5.0.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.