Dokan Pro: Privilege Escalation über REST-API (CVE-2026-12224)

Veröffentlicht am 07.07.2026

Ein Angreifer braucht nur einen ganz normalen Verkäufer-Zugang auf Ihrem Online-Marktplatz – und kann sich damit selbst zum Administrator machen. Genau das ermöglicht eine schwerwiegende Sicherheitslücke im beliebten WordPress-Plugin Dokan Pro, dem führenden Baustein für WooCommerce-Marktplätze mit mehreren Verkäufern. Die Schwachstelle mit der Kennung CVE-2026-12224 betrifft alle Versionen bis einschließlich 5.0.4 und wird mit einem CVSS-Score von 8.8 (HIGH) als hochgefährlich eingestuft. Wer betroffen ist, sollte jetzt handeln – nicht nächste Woche.

Was ist passiert?

Sicherheitsforscher haben in Dokan Pro eine sogenannte Privilege-Escalation-Schwachstelle entdeckt – das ist eine Lücke, über die ein Angreifer sich mehr Rechte verschaffen kann, als ihm eigentlich zustehen. Konkret: Ein authentifizierter Nutzer mit einfachem Verkäufer-Zugang (Vendor) kann sich – oder einem anderen Konto – beliebige WordPress-Rechte zuweisen, bis hin zu vollen Administratorrechten.

Das Resultat ist die vollständige Übernahme der Website (im Fachjargon „Full Site Takeover"). Der Angreifer hat danach dieselbe Kontrolle wie der eigentliche Betreiber: Er kann Kundendaten auslesen, Schadcode einschleusen, Inhalte manipulieren und die gesamte Datenbank kopieren.

Die Lücke wurde am 30. Juni 2026 vom Sicherheitsforscher 0xd4rk5id3 (EnvoraSec) über das Wordfence Bug-Bounty-Programm gemeldet und am selben Tag offiziell als CVE-2026-12224 veröffentlicht. Der Hersteller weDevs (Dokan, Inc.) hatte bereits am 19. Juni 2026 mit Version 5.0.5 einen Patch bereitgestellt.

Der technische Hintergrund – verständlich erklärt

Dokan Pro bringt ein Modul namens „Vendor Staff" mit. Damit können Verkäufer auf einem Marktplatz eigene Mitarbeiter-Konten anlegen und deren Berechtigungen verwalten. Für die Rechteverwaltung nutzt das Plugin einen sogenannten REST-Endpoint – das ist eine Programmierschnittstelle, über die Anfragen von außen an die Website gesendet werden können.

Der Fehler steckt im Handler update_capabilities() dieses Endpoints unter der Adresse /wp-json/dokan-pro/v1/vendor-staff/update-capabilities. Das Problem: Der Handler nimmt die gewünschten Berechtigungen (sogenannte „Capabilities") direkt aus der Anfrage entgegen und reicht sie ungeprüft an die WordPress-Funktion WP_User::add_cap() weiter. Es gibt keine Positivliste (Allowlist), die festlegt, welche Rechte überhaupt vergeben werden dürfen.

Die einzige Kontrolle: Es wird geprüft, ob der Aufrufer die Berechtigung dokandar besitzt. Und genau diese Berechtigung erhält jedes Vendor-Konto standardmäßig. Damit ist die Hürde praktisch nicht vorhanden.

Der Angriff läuft in wenigen Schritten ab:

1. Der Angreifer registriert sich als Verkäufer – auf vielen Dokan-Seiten ist die offene Selbstregistrierung aktiviert.
2. Er legt ein Mitarbeiter-Konto (vendor_staff) an oder nutzt ein bestehendes.
3. Er sendet eine authentifizierte Anfrage an den REST-Endpoint mit einem Datenpaket, das etwa 'administrator': true oder 'manage_options': true enthält.
4. WordPress speichert diese Rechte in der Datenbank-Tabelle wp_usermeta.
5. Das Mitarbeiter-Konto verfügt nun über volle Administratorrechte.
6. Der Angreifer meldet sich mit diesem Konto an und kontrolliert die gesamte WordPress-Installation.

Wordfence, die für WordPress-Schwachstellen zuständige CVE-Vergabestelle, beschreibt die Lücke so:

„The Dokan Pro plugin for WordPress is vulnerable to privilege escalation via update_capabilities REST Endpoint in all versions up to, and including, 5.0.4. […] This makes it possible for authenticated attackers with a self-provisioned Vendor-level access and above, on sites with the Vendor Staff module enabled, to grant arbitrary WordPress capabilities, including administrator, to any vendor_staff account, leading to a full site takeover." (Wordfence / Defiant Inc.)

Wichtig zu wissen: Es existiert bereits ein öffentlich dokumentierter Proof-of-Concept (veröffentlicht von Atomic Edge am 30. Juni 2026), der den Angriff über einen einfachen PHP-basierten Request demonstriert. Das senkt die Einstiegshürde für Angreifer weiter.

Wer ist betroffen?

Betroffen sind Betreiber von WooCommerce-Marktplätzen, die das Plugin Dokan Pro in Version 5.0.4 oder älter einsetzen – und bei denen das Vendor-Staff-Modul aktiviert ist. Ist das Modul deaktiviert, ist das Risiko deutlich geringer, ein Update bleibt aber dringend empfohlen.

Die Verbreitung ist erheblich: Dokan betreibt nach Herstellerangaben über 50.000 aktive Online-Marktplätze weltweit. Die kostenlose Basisversion Dokan Lite zählt mehr als 70.000 aktive Installationen auf WordPress.org, insgesamt gab es über 3,9 Millionen Downloads. Die kostenpflichtige Pro-Version, um die es hier geht, wird auf rund 15.000 aktive Verkäufe geschätzt (Wordfence, August 2025).

Ein besonders kritischer Punkt: Dokan Pro ist ein Premium-Plugin und wird nicht automatisch über WordPress.org aktualisiert. Betreiber müssen das Update also aktiv und manuell einspielen – ein automatischer Schutz greift hier nicht.

So prüfen Sie, ob Sie betroffen sind

1. Plugin-Version prüfen: Gehen Sie im WordPress-Dashboard auf „Plugins → Installierte Plugins", suchen Sie „Dokan Pro" und notieren Sie die Versionsnummer. Ist es Version 5.0.4 oder älter, ist Ihre Website potenziell betroffen.
2. Vendor-Staff-Modul prüfen: Kontrollieren Sie unter „Dokan → Module" (bzw. „WooCommerce → Dokan → Module"), ob das Modul „Vendor Staff" aktiviert ist.
3. Datenbank auf verdächtige Rechte prüfen: Suchen Sie in der Tabelle wp_usermeta (etwa über phpMyAdmin oder WP-CLI) nach auffälligen Einträgen mit folgender Abfrage:
   SELECT user_id, meta_value FROM wp_usermeta WHERE meta_key = 'wp_capabilities' AND meta_value LIKE '%administrator%' AND meta_value LIKE '%vendor_staff%';
4. Unbekannte Administrator-Konten prüfen: Filtern Sie unter „Benutzer → Alle Benutzer" nach der Rolle „Administrator" und prüfen Sie jedes Konto auf Legitimität. Unbekannte Admin-Konten sind ein Warnsignal.
5. REST-API-Logs prüfen: Durchsuchen Sie die Webserver-Zugriffsprotokolle (Apache/Nginx access.log) nach POST-Requests mit „update-capabilities" oder „update_capabilities" in der URL. Solche Anfragen von unbekannten IP-Adressen deuten auf einen Angriffsversuch hin.
6. Sicherheits-Scan durchführen: Falls Wordfence installiert ist, führen Sie unter „Wordfence → Scan" einen vollständigen Scan durch. Wordfence-Premium-Nutzer sind seit dem 30. Juni 2026 durch eine Firewall-Regel geschützt.

Das müssen Sie jetzt tun

1. Sofort updaten: Aktualisieren Sie Dokan Pro auf Version 5.0.5 oder höher. Verfügbar sind bereits Version 5.0.6 (26. Juni 2026) sowie 5.0.8 (WordPress.org, 6. Juli 2026). Das Update erfolgt über „Plugins → Updates" oder direkt über Ihr Dokan-Kundenkonto auf dokan.co. Das ist die einzige vollständige Behebung.
2. Vendor-Staff-Modul temporär deaktivieren: Ist ein sofortiges Update nicht möglich, schalten Sie das Modul unter „Dokan → Module" ab. Das verhindert die Ausnutzung, bis der Patch eingespielt ist.
3. Offene Vendor-Registrierung einschränken: Stellen Sie unter „Dokan → Einstellungen → Vendor-Registrierung" die Selbstregistrierung ab oder auf manuelle Genehmigung um. Das erhöht die Hürde für Angreifer deutlich.
4. Bestehende Nutzerrechte bereinigen: Prüfen Sie alle vendor_staff-Konten auf unerwünschte Rechte (siehe Prüf-Schritt 3). Unberechtigte Admin-Rechte entfernen Sie per WP-CLI: wp user remove-cap [user_id] administrator
5. WAF-Regel einrichten: Eine Web Application Firewall (etwa Wordfence oder Cloudflare) sollte POST-Requests an /wp-json/dokan-pro/v1/vendor-staff/update-capabilities blockieren, die Administrator-Rechte im Datenpaket enthalten.
6. Administrator-Passwörter rotieren: Vergeben Sie neue, starke Passwörter für alle Admin-Konten und melden Sie alle aktiven Sitzungen ab (Benutzer → Profil → „Alle anderen Sitzungen abmelden").
7. Monitoring aktivieren: Überwachen Sie Audit-Logs (z. B. mit dem Plugin WP Activity Log) und Zugriffsprotokolle. Richten Sie Alerts für neue Admin-Konten und ungewöhnliche REST-API-Aufrufe ein.
8. Bei Verdacht auf Kompromittierung: Website in den Wartungsmodus versetzen, Backup erstellen, Logs forensisch analysieren, alle Passwörter ändern – und die DSGVO-Meldepflicht (72-Stunden-Frist) prüfen.

Einordnung: Wie ernst ist die Lage?

Der CVSS-Score von 8.8 verdeutlicht das Gefahrenpotenzial: geringe Angriffskomplexität, niedriger Rechtebedarf (nur Vendor-Zugang), Ausnutzbarkeit über das Netzwerk und vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit. Das Sherlock Forensics Team ordnet es so ein:

„A CVSS score of 8.8 means this vulnerability is straightforward to exploit, likely to cause significant damage or both. For startups and small companies operating without a dedicated security team, vulnerabilities at this severity level represent real operational risk rather than theoretical concern." (Sherlock Forensics Team)

Zum jetzigen Zeitpunkt ist keine aktive Massenausnutzung bekannt (EPSS-Wert: 0,25 %). Das ist eine gute Nachricht – aber kein Grund zur Entwarnung. Denn laut Patchstack liegt die mediane Zeit bis zur Massenausnutzung bei hochgefährlichen WordPress-Lücken bei nur fünf Stunden nach Bekanntgabe. Und ein Proof-of-Concept ist bereits öffentlich verfügbar. Das Zeitfenster für ein Update ist also denkbar knapp.

Zur Einordnung ins Gesamtbild: Im Jahr 2025 wurden im WordPress-Ökosystem 11.334 neue Schwachstellen entdeckt – ein Plus von 42 % gegenüber dem Vorjahr. 91 % davon steckten in Plugins, nicht im WordPress-Kern. Und ausgerechnet bei Premium-Komponenten wie Dokan Pro waren laut Patchstack 76 % der Schwachstellen in realen Angriffen ausnutzbar.

Was die DSGVO für Sie bedeutet

Für deutsche Unternehmen ist CVE-2026-12224 nicht nur ein IT-Problem, sondern auch ein rechtliches. Bei erfolgreicher Ausnutzung erhält der Angreifer Zugriff auf gespeicherte Kundendaten – Namen, Adressen, Zahlungsdaten. Das hat konkrete Folgen:

• Meldepflicht (Art. 33 DSGVO): Werden personenbezogene Daten kompromittiert, müssen Sie die zuständige Landesdatenschutzbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren.
• Benachrichtigungspflicht (Art. 34 DSGVO): Bei hohem Risiko für die Betroffenen – etwa bei Diebstahl von Zahlungsdaten – müssen Sie auch die betroffenen Kunden direkt informieren.
• Technische Schutzpflicht (Art. 32 DSGVO): Sie sind verpflichtet, geeignete Schutzmaßnahmen zu treffen. Das Unterlassen bekannter Sicherheitsupdates kann als Verstoß gewertet werden.
• Bußgeldrisiko (Art. 83 DSGVO): Verstöße gegen die Meldepflicht können mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen technische Schutzpflichten mit bis zu 20 Mio. Euro oder 4 % des Jahresumsatzes.
• Haftungsrisiko (Art. 82 DSGVO): Betroffene Kunden können zivilrechtliche Schadensersatzansprüche geltend machen – auch für immaterielle Schäden.

Auch kleine Unternehmen ohne eigenen Datenschutzbeauftragten sind verpflichtet, Datenpannen zu dokumentieren und gegebenenfalls zu melden. Zuständig ist die jeweilige Landesdatenschutzbehörde – etwa das BayLDA in Bayern, der LfDI in Baden-Württemberg oder die LDI NRW in Nordrhein-Westfalen.

Fazit

CVE-2026-12224 ist eine ernstzunehmende Lücke, die im schlimmsten Fall Ihren gesamten Marktplatz in fremde Hände gibt. Die gute Nachricht: Der Patch ist verfügbar, und die Behebung ist unkompliziert. Wenn Sie Dokan Pro einsetzen, gilt daher: Prüfen Sie jetzt Ihre Version und aktualisieren Sie umgehend auf mindestens Version 5.0.5. Können Sie nicht sofort updaten, deaktivieren Sie das Vendor-Staff-Modul als schnelle Zwischenlösung.

Angesichts des öffentlich verfügbaren Angriffscodes und der historisch sehr kurzen Zeitspanne bis zur Massenausnutzung sollten Sie nicht abwarten. Ein Update, das heute fünf Minuten dauert, erspart Ihnen im Ernstfall eine 72-Stunden-Meldefrist, mögliche Bußgelder und den Vertrauensverlust Ihrer Kunden.