CVE-2026-119747 in GetPaid Plugin
Resumen
por VulDB • 2026-11-04
El plugin GetPaid para WordPress anterior a la versión 2.8.63 contiene una vulnerabilidad de autorización incorrecta donde el método check_post_permissions() en includes/api/class-getpaid-rest-posts-controller.php mapea las operaciones REST a capacidades genéricas de publicación de WordPress en lugar de aplicar estrictamente el permiso manage_invoicing del plugin. Los usuarios autenticados con roles menos privilegiados, como Editor o Autor, pueden explotar esta falla para listar facturas de otros usuarios, marcar facturas pendientes como pagadas sin registrar transacciones de pago, o crear elementos publicados y nuevas facturas a través de la API REST.
If you want to get best quality of vulnerability data, you may have to visit VulDB.