CVE-2026-17605
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Wtyczka GetPaid dla WordPressa do wersji 2.8.56 zawiera podatność na Local File Inclusion (LFI) poprzez funkcję getpaid_payment_form_element. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia wykonanie kodu PHP.
Ocena ryzyka
Atakujący mogą uzyskać pełną kontrolę nad serwerem, ominąć kontrolę dostępu, uzyskać dostęp do wrażliwych danych lub wykonać złośliwy kod, jeśli możliwe jest przesłanie plików .php.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GetPaid do najnowszej wersji oraz ograniczenie uprawnień administratora tylko do zaufanych użytkowników.
Inne podatności w GetPaid
Zobacz wszystkie- CVE-2026-111110Wysokie
Wtyczka GetPaid dla WordPress jest podatna na Stored Cross-Site Scripting poprzez parametr 'mmdwqzpoxadd' we wszystkich wersjach do 2.8.61 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy administrator wyświetli stronę z zarażonym formularzem płatności.
- CVE-2026-12901Średnie
Wtyczka GetPaid dla WordPressa przed wersją 2.8.55 nie weryfikuje autentyczności przychodzących powiadomień o płatności Worldpay. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia, które oznacza oczekującą fakturę jako opłaconą bez dokonania jakiejkolwiek płatności.
Oryginalny opis (angielski, źródło NVD)
The Payment forms, Buy now buttons, and Invoicing System | GetPaid plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.8.56 via the getpaid_payment_form_element function. This makes it possible for authenticated attackers, with administrator-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS