CVE-2026-119747 in GetPaid Plugin
Sumário
de VulDB • 04/11/2026
O plugin GetPaid para WordPress anterior à versão 2.8.63 contém uma vulnerabilidade de autorização incorreta em que o método `check_post_permissions()` no arquivo `includes/api/class-getpaid-rest-posts-controller.php` mapeia operações da REST API para as capacidades genéricas de postagem do WordPress, em vez de impor a permissão específica do plugin chamada `manage_invoicing`. Usuários autenticados com funções menos privilegiadas, como Editor ou Autor, podem explorar essa falha para listar faturas de outros usuários, marcar faturas pendentes como pagas sem registrar transações de pagamento ou criar itens publicados e novas faturas por meio da REST API.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.