CVE-2026-111110 in GetPaid Plugin
Сводка
по VulDB • 17.10.2026
Плагин для WordPress «The Payment forms, Buy now buttons, and Invoicing System | GetPaid» уязвим к Stored Cross-Site Scripting (XSS) через параметр 'mmdwqzpoxadd' во всех версиях вплоть до 2.8.61 включительно из-за недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Требуемый nonce (getpaid_form_nonce) публично передается всем посетителям через wp_localize_script как WPInv.formNonce, что означает отсутствие необходимости аутентификации или предварительной утечки nonce; сохраненный payload срабатывает, когда администратор просматривает метабокс «Payment Form Details» (Детали формы оплаты) соответствующего счета.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.