Vulnerabilidad en Dokan para WooCommerce (CVE-2025-14977)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-284 Control de acceso incorrecto

Fecha de publicación:

20/01/2026

Última modificación:

26/01/2026

Descripción

El plugin Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy para WordPress es vulnerable a Referencia Directa a Objeto Insegura en versiones hasta la 4.2.4, inclusive, a través del endpoint de la API REST `/wp-json/dokan/v1/settings` debido a la falta de validación en una clave controlada por el usuario. Esto hace posible que atacantes autenticados, con permisos de nivel de cliente y superiores, lean o modifiquen la configuración de la tienda de otros proveedores, incluyendo información de pago sensible (correo electrónico de PayPal, detalles de la cuenta bancaria, números de ruta, IBAN, códigos SWIFT), números de teléfono y direcciones, y cambien las direcciones de correo electrónico de PayPal a direcciones controladas por el atacante, lo que permite el robo financiero cuando el marketplace procesa los pagos.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

8.10

Gravedad 3.x

ALTA

Vulnerabilidad en Dokan para WooCommerce (CVE-2025-14977)

Descripción

Impacto

Referencias a soluciones, herramientas e información