CVE-2026-111110 in GetPaid Plugin
الملخص
بحسب VulDB • 17/10/2026
يحتوي إضافة WordPress "The Payment forms, Buy now buttons, and Invoicing System | GetPaid" على ثغرة Stored Cross-Site Scripting (XSS) عبر المعلمة 'mmdwqzpoxadd' في جميع الإصدارات حتى 2.8.61 شاملاً، بسبب عدم كفاية تنقية المدخلات وإخفاء مخرجاتها. وهذا يمكّن المهاجمين غير المصادق عليهم من حقن نصوص برمجية ويب عشوائية في الصفحات التي ستُنفَّذ عند وصول أي مستخدم إلى الصفحة المُحقونة. الرمز nonce المطلوب (getpaid_form_nonce) يُصدر علانيةً لجميع الزوار عبر wp_localize_script كـ WPInv.formNonce، مما يعني أنه لا حاجة للمصادقة أو لتسريب الـ nonce مسبقاً؛ حيث يتم تنفيذ الحمولة المخزنة عندما يعرض مسؤول تفاصيل نموذج الدفع في مربع التفاصيل الخاص بالفاتورة المتأثرة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.