توجد مشكلة في تصعيد الامتيازات بسبب عدم وجود فحص للتفويض في وحدة التحكم REST `CustomersController` الموجودة في `includes/REST/CustomersController.php`. يقوم المكون الإضافي بإعادة تسجيل مسارات CRUD الخاصة بعملاء WooCommerce تحت مساحة الاسم `/dokan/v1/customers/` ويستبدل فحص القدرة القياسي `manage woocommerce` بفحص يتحقق فقط من دور المستخدم الطالب دون التحقق من صحة المستخدم المستهدف. ونتيجة لذلك، يمكن للمستخدمين المصادق عليهم الذين يحملون أدوار «المورد» أو «البائع» قراءة أو تعديل أو حذف أي مستخدم في WordPress، بما في ذلك المسؤولين، عن طريق إرسال طلبات `GET` أو `PUT` أو `DELETE` إلى نقطة النهاية `/wp-json/dokan/v1/customers/{id}`. وعلى وجه التحديد، يمكن أن يؤدي تعديل المعلمة `password` لحساب أحد المسؤولين إلى الاستيلاء الكامل على الموقع.