CVE-2026-111110 in GetPaid Plugin
Riassunto
di VulDB • 17/10/2026
Il plugin WordPress "The Payment forms, Buy now buttons, and Invoicing System | GetPaid" è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'mmdwqzpoxadd' in tutte le versioni fino alla 2.8.61 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il nonce richiesto (getpaid_form_nonce) è emesso pubblicamente a tutti i visitatori tramite wp_localize_script come WPInv.formNonce, il che significa che non sono necessarie autenticazione né una precedente fuga di nonce; la payload memorizzata si attiva quando un amministratore visualizza il metabox "Payment Form Details" dell'fattura interessata.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.