CVE-2026-119747 Autorización incorrecta vía REST API en el plugin GetPaid para WordPress
El plugin GetPaid para WordPress anterior a 2.8.63 contiene una vulnerabilidad de autorización incorrecta donde el método check_post_permissions() en includes/api/class-getpaid-rest-posts-controller.php mapea operaciones REST a capacidades genéricas de posts de WordPress en lugar de exigir el permiso manage_invoicing del plugin. Usuarios autenticados con roles de menores privilegios, como Editor o Author, pueden explotar esta falla para listar facturas de otros usuarios, marcar facturas pendientes como pagadas…
CVSS 3.1
- CVSS 4.07.1 · alta
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 11
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
AyeCode Ltd Payment forms, Buy now buttons, and Invoicing System | GetPaid
hasta antes de 2.8.63
Qué hacer
- Verificá si usás Payment forms, Buy now buttons, and Invoicing System | GetPaid y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.1 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadAlta
- DisponibilidadNinguna
CVSS 4.0 · 7.1 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
The GetPaid plugin for WordPress before 2.8.63 contains an incorrect authorization vulnerability where the check_post_permissions() method in includes/api/class-getpaid-rest-posts-controller.php maps REST operations to generic WordPress post capabilities instead of enforcing the plugin's manage_invoicing permission. Authenticated users with lower-privileged roles such as Editor or Author can exploit this flaw to list other users' invoices, mark pending invoices as paid without recording payment transactions, or create published items and new invoices through the REST API.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.