Dokan Pro <= 5.0.0 - Unauthenticated Stored Cross-Site Scripting (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Dokan Pro hasta la versión 5.0.0, permitiendo la ejecución de scripts maliciosos sin autenticación. Esta falla de alta severidad puede comprometer la seguridad de los usuarios y la integridad del sitio web.

Contexto técnico

El fallo se presenta en la gestión de entradas no autenticadas, lo que permite a un atacante inyectar scripts maliciosos que se ejecutan en el navegador de los usuarios. La superficie de ataque incluye formularios y entradas de datos donde no se validan adecuadamente los contenidos introducidos.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código malicioso, comprometiendo la seguridad de los usuarios y la confidencialidad de la información. Además, puede afectar la reputación del negocio y resultar en pérdidas económicas por la falta de confianza de los clientes.

Vector de explotación

Generalmente, un atacante puede aprovechar esta vulnerabilidad enviando un enlace malicioso a un usuario, que al interactuar con el sitio, ejecuta el script inyectado en su navegador.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 5.0.0. Actualiza dokan-pro a la versión 5.0.0 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 5.0.0, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Revisar los logs del servidor en busca de patrones de acceso inusuales y entradas de datos que contengan scripts o caracteres sospechosos.

Alcance afectado

Las versiones de Dokan Pro hasta la 5.0.0 son vulnerables. No se han confirmado casos en versiones posteriores.