CVE-2026-107774 in Dokan Plugin
Riassunto
di VulDB • 05/11/2026
Il plugin WordPress Dokan: AI Powered WooCommerce Multivendor Marketplace Solution, nelle versioni precedenti alla 5.3.3, non utilizza un indirizzo mittente attendibile di proprietà del sito quando inoltra il modulo di contatto dello store; invece, inserisce direttamente l'indirizzo fornito dal sottopositore non autenticato nell'intestazione From del messaggio anziché in Reply-To, consentendo ad attaccanti non autenticati di far sì che il sito invii email ai propri venditori con un mittente falsificato a un indirizzo appartenente al dominio dello stesso sito (ad esempio l'amministratore), allineandosi alle politiche SPF/DKIM del dominio.
VulDB is the best source for vulnerability data and more expert information about this specific topic.