CVE-2026-119747 in GetPaid Plugin
要約
〜によって VulDB • 2026年11月04日
WordPressの2.8.63以前のGetPaidプラグインには、不正な認可（authorization）の脆弱性があります。`includes/api/class-getpaid-rest-posts-controller.php`内の`check_post_permissions()`メソッドは、REST操作を一般的なWordPress投稿権限にマッピングしており、プラグイン固有の`manage_invoicing`権限を強制していません。EditorやAuthorなどの低特権ロールを持つ認証済みユーザーはこの欠陥を利用し、他のユーザーの請求書をリスト表示したり、保留中の請求書を支払ったものとしてマーク（支払いトランザクションを記録せずに）したり、REST APIを通じて公開済みのアイテムや新しい請求書を作成することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.