CVE-2026-119747
Payment forms, Buy now buttons, and Invoicing System | GetPaid に報告された脆弱性
概要
The GetPaid plugin for WordPress before 2.8.63 contains an incorrect authorization vulnerability where the check_post_permissions() method in includes/api/class-getpaid-rest-posts-controller.php maps REST operations to generic WordPress post capabilities instead of enforcing the plugin's manage_invoicing permission. Authenticated users with lower-privileged roles such as Editor or Author can exploit this flaw to list other users' invoices, mark pending invoices as paid without recording payment transactions, or create published items and new invoices through the REST API.
影響を受けるバージョン
- 0以上 〜 2.8.63未満
対処方法
Payment forms, Buy now buttons, and Invoicing System | GetPaid を 2.8.63 以降に更新してください。これで本脆弱性は解消します。
Payment forms, Buy now buttons, and Invoicing System | GetPaid の他の脆弱性を見る →
あなたのサイトは大丈夫ですか？
URLを入力するだけで、実際に使われているプラグインを検出し、 このデータベースと突き合わせて既知の脆弱性が残っていないかを確認できます。登録不要・無料です。
30秒で無料診断する