PT-2026-3536
CVE-2025-14977
·
تاريخ النشر
2026-01-19
·
تاريخ التحديث
2026-01-25
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dokan حتى الإصدار 4.2.4 بما في ذلك
الوصف
المكوّن الإضافي Dokan لـ WordPress معرض لمشكلة ”الإشارة المباشرة إلى كائنات غير آمنة“. تنشأ هذه الثغرة عن عدم التحقق من صحة مفتاح يتحكم فيه المستخدم داخل نقطة نهاية واجهة برمجة التطبيقات (API)
/wp-json/dokan/v1/settings. يمكن للمهاجمين المصادق عليهم الذين يمتلكون أذونات على مستوى العميل أو أعلى قراءة أو تعديل إعدادات المتجر الخاصة ببائعين آخرين. ويشمل ذلك البيانات الحساسة، مثل عناوين البريد الإلكتروني الخاصة بـ PayPal، وتفاصيل الحسابات المصرفية، وأرقام التوجيه، وأرقام IBAN، ورموز SWIFT، وأرقام الهواتف، والعناوين. قد يسمح استغلال هذه الثغرة للمهاجمين بإعادة توجيه المدفوعات من السوق إلى حسابات تحت سيطرتهم، مما يؤدي إلى سرقة أموال. المعلمة المعرضة للخطر هي مفتاح يتحكم فيه المستخدم.التوصيات
قم بتحديث Dokan إلى إصدار أحدث من 4.2.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾