CVE-2026-10023: IDOR-fejl i Dokan-plugin til WooCommerce
Sårbarhed i Dokan-pluginet til WooCommerse lader forhandlere manipulere andre forhandleres ordrer. Opdatér pluginet snarest.
Hvad er det?
CVE-2026-10023 er en IDOR-sårbarhed (Insecure Direct Object Reference), hvor systemet ikke tjekker, om en bruger reelt ejer den ordre, vedkommende forsøger at ændre. Fejlen findes i Dokan, et populært WordPress-plugin til at drive en multivendor-markedsplads i stil med Amazon eller Etsy oven på WooCommerce. Seks funktioner i pluginet, blandt andet dem der ændrer ordrestatus, tilføjer ordrenoter og styrer download-adgang til digitale produkter, mangler kontrol af, om den angivne ordre-id faktisk tilhører den forhandler, der sender kaldet. En logget ind forhandler kan derfor pege på en vilkårlig andens ordre-id og få lov til at ændre den.
Hvem rammer det?
Alle danske webshops, der bruger Dokan til at drive en markedsplads med flere forhandlere på WooCommerce, i version 5.0.3 og tidligere. Det gælder både shopejeren, der driver platformen, og de enkelte forhandlere med egen ‘vendor’-konto. Jo flere uafhængige forhandlere på platformen, jo større er risikoen for, at en af dem misbruger adgangen mod de øvrige.
Hvad kan ske?
En forhandler med almindelig vendor-adgang kan ændre status på andre forhandleres ordrer, tilføje falske noter, herunder noter der sender e-mail til kunden, slette ordrenoter og kommentarer, indsætte falske fragtoplysninger og give eller fjerne adgang til downloadbare produkter på ordrer, vedkommende ikke ejer. I praksis kan det bruges til at genere en konkurrent på samme markedsplads, skabe forvirring hos kunder eller udløse falske support-henvendelser, som platformsejeren skal bruge tid på at rydde op i.
Hvor alvorligt er det?
CVSS-scoren er 4,3 ud af 10, moderat risiko. Angrebet kræver login med mindst vendor-niveau, altså en aktiv forhandlerkonto på platformen, men ingen handling fra offeret og ingen særlig teknisk kompleksitet. Der er ikke tale om, at data kan læses (fortrolighed er ikke ramt), men ordreoplysninger kan ændres (lav integritetspåvirkning). Der er ikke observeret aktiv udnyttelse, men den tekniske analyse, der ligger til grund for sårbarheden, beskriver angrebsmetoden så detaljeret, at den kan gennemføres uden yderligere efterforskning.
Hvad gør jeg nu?
Sårbarheden lukkes ved at opdatere pluginet. Følg disse trin:
- Opdatér Dokan til den nyeste version, hvor ejerskabskontrol på ordre-id er rettet.
- Gennemgå listen af aktive vendor-konti på jeres platform, og fjern eller suspendér konti, I ikke kender eller ikke har brug for.
- Tjek ordrelog og notehistorik for usædvanlige statusændringer, fragtoplysninger eller noter tilføjet af andre forhandlere end ordreejeren.
- Overvej at begrænse, hvor let nye forhandlere kan oprette sig selv på platformen, indtil opdateringen er rullet ud.
- Informér jeres forhandlere om, at der har været en sårbarhed, hvis I finder tegn på misbrug af en konkret ordre.
- Kontakt en sikkerhedsrådgiver, hvis I finder spor af misbrug, eller hvis I ikke selv har ressourcer til at gennemgå logfilerne.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer Dokan til den seneste version som en del af jeres normale opdateringsrutine, da sårbarheden kræver en aktiv forhandlerkonto og derfor ikke kan udnyttes af udefrakommende uden login. Har I en åben markedsplads, hvor hvem som helst kan blive forhandler, bør I prioritere opdateringen højere, da risikoen for misbrug er større. Det er i orden at vente til næste planlagte vedligeholdelsesvindue, hvis I løbende overvåger forhandleraktivitet på platformen.
Tidslinje
Konkrete eksempler
Konkurrerende forhandler saboterer ordrer
En dansk webshop driver en markedsplads med flere uafhængige forhandlere via Dokan. En forhandler opretter en almindelig vendor-konto og bruger sårbarheden til at ændre status og fragtoplysninger på en konkurrents ordrer. Kunderne modtager forvirrende e-mails om deres bestilling, og platformsejeren bruger flere dage på at finde årsagen, før pluginet opdateres.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-10023?
I er ramt, hvis jeres webshop bruger Dokan til at drive en multivendor-markedsplads på WooCommerce i version 5.0.3 eller tidligere, og I har mere end én forhandlerkonto på platformen.
Hvordan tjekker vi, om pluginet er sårbart?
Gå til Plugins i jeres WordPress-administration, og se hvilken version af Dokan der er installeret. Er den 5.0.3 eller lavere, er I sårbare, indtil pluginet opdateres.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I ikke har eksterne eller ukendte forhandlere på platformen. Har I en åben markedsplads, hvor alle kan tilmelde sig som forhandler, bør I opdatere hurtigere.
Kræver angrebet, at nogen klikker på et link?
Nej. Angrebet kræver ingen handling fra offeret. Det kræver kun, at angriberen selv har en aktiv forhandlerkonto på jeres platform.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at en forhandler faktisk har misbrugt adgangen til at ændre andres ordrer eller kundedata. Er der ikke fundet spor af misbrug, er der ikke grundlag for en anmeldelse.
Rammer det almindelige kunder, der handler i shoppen?
Ikke direkte. Sårbarheden kræver en forhandlerkonto, så almindelige kunder kan ikke selv udnytte den, men de kan blive udsat for falske ordrenoter eller e-mails, hvis en forhandler misbruger fejlen mod deres ordre.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Dokan: AI Powered WooCommerce Multivendor Marketplace Solution – Build Your Own Amazon, eBay, Etsy plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 5.0.3 via the change_order_status, add_order_note, delete_order_note, add_shipping_tracking_info, grant_access_to_download, and revoke_access_to_download AJAX handlers due to missing ownership validation on a user-controlled order ID key. This makes it possible for authenticated attackers, with custom vendor-level access and above, to modify the status of arbitrary orders, add attacker-controlled notes to any order (including customer-facing notes that trigger WooCommerce notification emails to buyers), delete any order note or WordPress comment by ID regardless of ownership, inject fake shipping tracking information on any order, and grant or revoke downloadable-product permissions on any order in the marketplace. Critically, nonce validity is not a barrier to exploitation: each of these AJAX handlers generates and embeds its nonce on the authenticated vendor’s own dashboard order pages (e.g., /dashboard/orders/?order_id=OWN_ORDER_ID), which the attacker legitimately controls. The attacker harvests a valid nonce from their own order detail page and replays it against a victim order ID — the nonce only proves the request originates from a logged-in session, not that the order belongs to that vendor. This directly rebuts the prior rejection reasoning that ‘users cannot generate valid nonces on command’: vendor users can and do generate valid nonces on demand simply by loading their own dashboard pages. Source-code analysis confirmed the vulnerable code path is present and unpatched through version 5.0.1.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.