CVE-2026-115609
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W wtyczce GetPaid firmy Stiofan występuje podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiająca trwały XSS. Problem dotyczy wersji od nieznanej do 2.8.62 włącznie.
Ocena ryzyka
Trwały XSS może pozwolić atakującemu na wstrzyknięcie złośliwego skryptu, który zostanie wykonany w przeglądarce użytkownika, potencjalnie prowadząc do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj wtyczkę GetPaid do wersji nowszej niż 2.8.62. Zastosuj walidację i kodowanie danych wejściowych w aplikacji.
Inne podatności w GetPaid
Zobacz wszystkie- CVE-2026-111110Wysokie
Wtyczka GetPaid dla WordPress jest podatna na Stored Cross-Site Scripting poprzez parametr 'mmdwqzpoxadd' we wszystkich wersjach do 2.8.61 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy administrator wyświetli stronę z zarażonym formularzem płatności.
- CVE-2026-12901Średnie
Wtyczka GetPaid dla WordPressa przed wersją 2.8.55 nie weryfikuje autentyczności przychodzących powiadomień o płatności Worldpay. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia, które oznacza oczekującą fakturę jako opłaconą bez dokonania jakiejkolwiek płatności.
- CVE-2026-17605Średnie
Wtyczka GetPaid dla WordPressa do wersji 2.8.56 zawiera podatność na Local File Inclusion (LFI) poprzez funkcję getpaid_payment_form_element. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia wykonanie kodu PHP.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Stiofan GetPaid invoicing allows Stored XSS.This issue affects GetPaid: from n/a through 2.8.62.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS