Dokan Pro <= 5.0.2 - Authenticated (Subscriber+) PHP Object Injection (vulnerabilidad)

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Dokan Pro (versiones hasta 5.0.2) que permite la inyección de objetos PHP. Este fallo puede ser explotado por usuarios autenticados con rol de suscriptor o superior, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el manejo inadecuado de objetos PHP dentro del plugin Dokan Pro, lo que permite a un atacante autenticado manipular la ejecución de código. La superficie de ataque se centra en las funcionalidades accesibles para usuarios con privilegios de suscriptor o superiores.

Impacto potencial

La explotación de esta vulnerabilidad puede dar lugar a la ejecución de código malicioso en el servidor, lo que podría comprometer datos sensibles y la integridad del sitio. Esto representa un riesgo significativo para la reputación y la operativa del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes manipuladas a través de formularios o endpoints accesibles para usuarios autenticados, lo que les permite ejecutar código no autorizado.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 5.0.2. Actualiza dokan-pro a la versión 5.0.2 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 5.0.2, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Monitorizar los logs de acceso en busca de solicitudes inusuales que intenten acceder a funciones del plugin. Revisar cambios no autorizados en archivos del plugin que puedan indicar explotación.

Alcance afectado

Las versiones de Dokan Pro hasta la 5.0.2 están afectadas. No se ha confirmado la existencia de esta vulnerabilidad en versiones posteriores.