Um problema de escalonamento de privilégios existe devido a uma verificação de autorização ausente no controlador REST `CustomersController` localizado em `includes/REST/CustomersController.php`. O plugin registra novamente as rotas CRUD de clientes do WooCommerce sob o namespace `/dokan/v1/customers/` e substitui a verificação de capacidade padrão `manage woocommerce` por uma verificação que apenas valida a função do usuário solicitante, sem validar o usuário alvo. Consequentemente, usuários autenticados com funções de Vendedor (Vendor ou Seller) podem ler, modificar ou excluir qualquer usuário do WordPress, incluindo administradores, enviando requisições `GET`, `PUT` ou `DELETE` para o endpoint `/wp-json/dokan/v1/customers/{id}`. Especificamente, a modificação do parâmetro `password` de uma conta de administrador pode levar ao controle total do site.