Analityczne wykorzystywanie plików cookies
CVE-2026-3504: Ujawnienie wrażliwych danych w wtyczce Dokan WooCommerce
Luka CVE-2026-3504 w wtyczce Dokan WooCommerce pozwala na wyciek danych klientów przez REST API. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 5.3 MEDIUM
- EPSS
- 17.67%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Dokan: AI Powered WooCommerce Multivendor Marketplace Solution dla WordPressa do wersji 4.3.1 umożliwia nieautoryzowany dostęp do adresów e-mail, nazw użytkowników i identyfikatorów użytkowników klientów poprzez endpoint REST API '/dokan/v1/stores/{id}/reviews'. Luka występuje, gdy aktywna jest wersja Pro z włączonymi recenzjami sklepów.
Wpływ biznesowy
Atakujący bez uwierzytelnienia mogą pozyskać dane osobowe klientów pozostawiających recenzje, co może prowadzić do naruszenia prywatności i potencjalnych ataków phishingowych. Operatorzy sklepów korzystających z tej wtyczki powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli korzystają z wersji Pro i mają aktywne recenzje sklepów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do endpointu API, wyłączyć recenzje sklepów lub monitorować logi pod kątem nietypowych zapytań. Priorytetowo należy ocenić ekspozycję danych i wprowadzić odpowiednie środki ochronne.