https://alertas.dupin.com.ar/fabricante/ayecode-ltd/Alertas de vulnerabilidades de AyeCode Ltd.esWed, 04 Nov 2026 18:02:18 +000010https://alertas.dupin.com.ar/cve/CVE-2026-119747/tg:63285Wed, 04 Nov 2026 18:02:18 +0000VulnerabilidadEl plugin GetPaid para WordPress anterior a 2.8.63 contiene una vulnerabilidad de autorización incorrecta donde el método check_post_permissions() en includes/api/class-getpaid-rest-posts-controller.php mapea operaciones REST a capacidades genéricas de posts de WordPress en lugar de exigir el permiso manage_invoicing del plugin. Usuarios autenticados con roles de menores privilegios, como Editor o Author, pueden explotar esta falla para listar facturas de otros usuarios, marcar facturas pendientes como pagadas…https://alertas.dupin.com.ar/cve/CVE-2026-119748/tg:63284Wed, 04 Nov 2026 18:02:17 +0000VulnerabilidadEl plugin GetPaid para WordPress anterior a 2.8.63 contiene una vulnerabilidad de evasión de autorización que permite a atacantes no autenticados acceder y manipular la factura de otro usuario proporcionando su ID mediante el parámetro maybe_use_invoice en process_invoice(), evadiendo las verificaciones de propiedad y clave realizadas por is_authorized_to_pay(). Los atacantes pueden enviar un ID de factura pendiente conocido mediante maybe_use_invoice para leer detalles de precios del checkout e iniciar un flujo…https://alertas.dupin.com.ar/cve/CVE-2026-119749/tg:63283Wed, 04 Nov 2026 18:02:16 +0000VulnerabilidadEl plugin GetPaid para WordPress anterior a 2.8.63 contiene una vulnerabilidad de validación de entrada inadecuada que permite a atacantes no autenticados evadir el procesamiento de pagos enviando una cantidad de artículo negativa en un formulario de pago público. Los atacantes pueden explotar el valor de cantidad no verificado en process_item() para producir un subtotal de línea negativo que reduce el total de la factura a cero, haciendo que process_free_payment() marque la factura como pagada sin ningún cargo…