CVE-2026-107775— Dokan < 5.3.3 管理员跨站点激活漏洞
一分钟漏洞结论
影响对象
Unknown Dokan: AI Powered WooCommerce Multivendor Marketplace Solution
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 5.3.3 版本之前，Dokan（一款由 AI 驱动的 WooCommerce 多供应商市场解决方案）WordPress 插件未在执行操作前验证当前管理员是否有权管理所选用户，便允许其启用该用户的市场卖家身份。这导致 WordPress 多站点（Multisite）环境中的子站点管理员能够为不属于其站点的用户（包括其本无权管理的网络级用户）开启销售权限。
可能的 ATT&CK 技术 1 AI
T1068 · Exploitation for Privilege Escalation影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Unknown | Dokan: AI Powered WooCommerce Multivendor Marketplace Solution | < 5.3.3 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-107775 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Dokan < 5.3.3 - Admin+ Cross-Site Vendor Activation
来源: CVE Program / CVE List V5
Vulnerability Description
The Dokan: AI Powered WooCommerce Multivendor Marketplace Solution WordPress plugin before 5.3.3 does not verify that the acting administrator is authorized to manage each selected user before enabling that user's marketplace seller status, allowing a subsite Administrator on WordPress Multisite to enable selling for users outside their own site, including network-level users they cannot otherwise manage.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | Dokan: AI Powered WooCommerce Multivendor Marketplace Solution | 0 ~ 5.3.3 | - |
|
二、漏洞 CVE-2026-107775 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-107775 的情报信息
请登录查看更多情报信息。
CVE-2026-107775 其他参考 (1)
-
https://wpscan.com/vulnerability/7a1d3c6c-fb78-41cc-85bb-4d86ac1ca3df/ exploit vdb-entry technical-description
同批安全公告 · Unknown · 2026-11-05 · 共 29 条
| CVE-2026-107776 | 2.2 LOW | Dokan 5.3.3 以下版本优惠券支付绕过漏洞 |
| CVE-2026-90963 | Essential Real Estate <5.3.5 未授权信息泄露漏洞 | |
| CVE-2026-16304 | WP Event Manager 3.4.2 之前任意文章接管漏洞 | |
| CVE-2026-85347 | FV Player 7.5.56.7212 存储型跨站脚本漏洞 | |
| CVE-2026-85351 | FV Player 7.5.56.7212 媒体导入 SSRF 漏洞 | |
| CVE-2026-85346 | FV Player 7.5.56.7212 云存储文件泄露漏洞 | |
| CVE-2026-19256 | All In One Login 2.4.0-2.4.1 短信 OTP 暴力破解漏洞 | |
| CVE-2026-86442 | WP Event Manager 3.4.0-3.4.1 未授权IDOR漏洞 | |
| CVE-2026-86795 | Community Events 1.6.0 未认证待办事件披露漏洞 | |
| CVE-2026-85570 | Tutor LMS 4.1.3 订阅者测验答案泄露漏洞 | |
| CVE-2026-87856 | WooCommerce Subscriptions 2.0.0-2.1.0 未授权内容限制绕过 | |
| CVE-2026-88814 | YITH 礼品卡<4.38.1 竞态条件导致余额重复消费漏洞 | |
| CVE-2026-90964 | Essential Real Estate 5.3.5 未认证任意邮件发送漏洞 | |
| CVE-2026-90966 | Essential Real Estate 5.3.5 任意付费包激活与伪造发票漏洞 | |
| CVE-2026-90965 | Essential Real Estate 5.3.5 未认证未发布房源图片泄露 | |
| CVE-2025-15701 | Easy Social Icons 4.0.3 管理员存储型 XSS 漏洞 | |
| CVE-2025-15702 | Cloud Blocks 1.1.8 未认证存储型 XSS 漏洞 | |
| CVE-2026-91049 | EWWW Image Optimizer 8.7.4-8.9.0 存储型 XSS 漏洞 | |
| CVE-2026-90967 | Essential Real Estate 5.3.5 之前 IDOR 导致客户发票 PII 泄露 | |
| CVE-2026-100144 | IVPAY payments 1.0.8 未认证SQL注入漏洞 |
显示前 20 条，共 29 条。 查看全部 → →