CVE-2026-119747 in GetPaid Plugin
الملخص
بحسب VulDB • 04/11/2026
يحتوي إضافة GetPaid لـ WordPress قبل الإصدار 2.8.63 على ثغرة في تفويض الوصول (authorization) غير صحيحة، حيث تقوم طريقة `check_post_permissions()` الموجودة في الملف `includes/api/class-getpaid-rest-posts-controller.php` بربط عمليات REST بقدرات منشورات WordPress العامة بدلاً من فرض صلاحية إدارة الفواتير الخاصة بالإضافة (`manage_invoicing`). يمكن للمستخدمين المصادق عليهم ذوي الأدوار ذات الصلاحيات الأقل، مثل المحرر (Editor) أو الكاتب (Author)، استغلال هذا القصور لـ: سرد فواتير المستخدمين الآخرين، وضع علامة "مدفوعة" على الفواتير المعلقة دون تسجيل معاملات الدفع، أو إنشاء عناصر منشورة وفواتير جديدة عبر واجهة برمجة التطبيقات REST.
If you want to get best quality of vulnerability data, you may have to visit VulDB.