CVE-2025-14977

Nome do Software Vulnerável e Versões Afetadas Versões do Dokan até e incluindo a 4.2.4

Descrição O plugin Dokan para WordPress está suscetível a um problema de Referência Direta a Objetos Inseguros. Esta falha decorre da falta de validação em uma chave controlada pelo usuário dentro do endpoint da API /wp-json/dokan/v1/settings. Atacantes autenticados que possuam permissões de nível de cliente ou superiores podem potencialmente ler ou modificar configurações de loja pertencentes a outros vendedores. Isso inclui dados sensíveis, como endereços de e-mail do PayPal, detalhes de contas bancárias, números de roteamento, IBANs, códigos SWIFT, números de telefone e endereços. A exploração poderia permitir que atacantes redirecionassem pagamentos do marketplace para contas sob seu controle, resultando em roubo financeiro. O parâmetro vulnerável é uma chave controlada pelo usuário.

Recomendações Atualize o Dokan para uma versão superior à 4.2.4.