🟡 CVE-2026-11783: Medium Schwachstelle

„`html

Zusammenfassung

Die WordPress-Erweiterung Dokan: AI Powered WooCommerce Multivendor Marketplace Solution weist eine Stored Cross-Site Scripting (XSS)-Schwachstelle auf. Die Vulnerabilität ermöglicht authentifizierten Angreifern mit erweiterten Zugriffsrechten, beliebige JavaScript-Code in Produktseiten einzuschleusen. Der schadhafte Payload wird über das Store-Suche-Widget an alle Seitenbesucher, einschließlich unauthentifizierter Nutzer, ausgeliefert.

Betroffene Systeme

Das Dokan-Plugin in allen Versionen bis einschließlich 5.0.4 ist betroffen. Die Schwachstelle existiert in der Produktverwaltungsfunktion, spezifisch bei der Verarbeitung der SKU-Eingabefelder (Stock Keeping Unit). Alle WordPress-Installationen mit aktiviertem Dokan-Multivendor-Marketplace sind potentiell gefährdet.

Technische Details

Die Vulnerabilität resultiert aus unzureichender Input-Sanitization bei der Verarbeitung von Produkt-SKUs. Der kritische Fehler tritt bei der DOM-Manipulation auf: Das Store-Suche-Widget nutzt jQuery’s .html()-Methode, um AJAX-Responses direkt in den DOM einzufügen, ohne die Daten vorher zu escapen.

Angreifer können XSS-Payloads direkt in das SKU-Feld eingeben. Die unescapten Daten werden anschließend an alle Seitenbesucher übermittelt, wenn diese die Suchfunktion nutzen oder entsprechende Seiten aufrufen. Dies ermöglicht Session-Hijacking, Cookie-Diebstahl oder Weiterleitung zu Malware-Seiten.

Empfohlene Massnahmen

• Sofortige Aktion: Plugin deaktivieren oder auf sichere Version aktualisieren (sobald verfügbar)
• Input-Validierung: SKU-Felder mit HTML-Entities escapen
• Output-Escaping: jQuery’s .text() statt .html() verwenden oder textContent nutzen
• Content Security Policy: CSP-Header implementieren zur Begrenzung inline-JavaScript
• Regelmäßige Updates: WordPress und alle Extensions aktuell halten
• Web Application Firewall: WAF-Regeln gegen XSS-Muster aktivieren

Bewertung

CVSS 6.4 (Medium): Die Schwachstelle erfordert Authentifizierung, bietet jedoch erhebliches Schadpotential durch die Reichweite zu unauthentifizierten Benutzern. Ein Patch ist derzeit nicht verfügbar. Das Risiko wird als mittelhoch eingestuft, erfordert aber zeitnahe Mitigation.

„`