CVE-2026-107776 Acreditación indebida en el libro de retiros de Dokan
El plugin Dokan de WordPress antes de 5.3.3 no concilia el monto acreditado en el libro de retiros inversos del vendedor con el monto realmente cobrado por la orden de pago, lo que permite a un vendedor saldar su deuda de comisiones pagando menos del saldo adeudado cuando se aplica un cupón de descuento en el checkout.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Dokan
hasta antes de 5.3.3
Qué hacer
- Verificá si usás Dokan y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 2.2 BAJA
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Dokan WordPress plugin before 5.3.3 does not reconcile the amount credited to a vendor's reverse-withdrawal ledger against the amount actually collected for the payment order, allowing a vendor to clear their outstanding commission debt while paying less than the balance owed when a discount coupon is applied at checkout.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.