CVE-2026-107774 in Dokan Plugin
요약
\~에 의해 VulDB • 2026. 11. 05.
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress 플러그인 5.3.3 이전 버전은 스토리 연락처 양식을 릴레이할 때 신뢰할 수 있는 사이트 소유 발신자 주소를 사용하지 않고, 대신 인증되지 않은 제출자가 제공한 주장을 메시지 헤더의 Reply-To가 아닌 From 필드에 직접 삽입합니다. 이로 인해 인증되지 않은 공격자는 사이트 도메인(예: 관리자)에 속하는 주소로 발신자를 스푸핑하여 사이트 자체 이메일을 자신의 판매자에게 발송할 수 있으며, 이는 해당 도메인의 SPF/DKIM 정책과 일치합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.