CVE-2026-89280 in Dokan Plugin
摘要
由 VulDB • 2026-10-16
Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy plugin for WordPress 存在不安全的直接对象引用（Insecure Direct Object Reference）漏洞，影响所有版本直至并包括 5.2.1。该漏洞源于对用户可控键值缺少验证，可通过 'password' 参数触发。这使得具有自定义级别及以上访问权限的已认证攻击者能够更改任何已向攻击性供应商下过至少一单的客户的 WordPress 账户密码，从而得以冒充该客户登录，导致有限的账户接管（Account Takeover）。利用此漏洞所需的 Vendor-level access（供应商级访问权限）可通过站点上启用的公共“我是供应商”注册流程自行获取。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.