CVE-2026-12901
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka GetPaid dla WordPressa przed wersją 2.8.55 nie weryfikuje autentyczności przychodzących powiadomień o płatności Worldpay. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia, które oznacza oczekującą fakturę jako opłaconą bez dokonania jakiejkolwiek płatności.
Ocena ryzyka
Atakujący mogą fałszywie oznaczać faktury jako opłacone, co prowadzi do strat finansowych i błędów w księgowości.
Rekomendacja
Zaktualizuj wtyczkę GetPaid do wersji 2.8.55 lub nowszej, aby zapewnić weryfikację powiadomień o płatności Worldpay.
Inne podatności w GetPaid
Zobacz wszystkie- CVE-2026-111110Wysokie
Wtyczka GetPaid dla WordPress jest podatna na Stored Cross-Site Scripting poprzez parametr 'mmdwqzpoxadd' we wszystkich wersjach do 2.8.61 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy administrator wyświetli stronę z zarażonym formularzem płatności.
- CVE-2026-17605Średnie
Wtyczka GetPaid dla WordPressa do wersji 2.8.56 zawiera podatność na Local File Inclusion (LFI) poprzez funkcję getpaid_payment_form_element. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia wykonanie kodu PHP.
Oryginalny opis (angielski, źródło NVD)
The GetPaid WordPress plugin before 2.8.55 does not verify the authenticity of incoming Worldpay payment notifications, allowing unauthenticated attackers to forge a notification that marks a pending invoice as paid without any payment being made.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS