Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin GetPaid permet à un attaquant non authentifié d’accéder à une facture d’un autre utilisateur et d’en manipuler l’état au moyen du paramètre `maybe_use_invoice`. Il peut notamment consulter les données de tarification et lancer un parcours de paiement qui place la facture en attente.
WordPress
IdentifiantCVE-2026-119748
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.8.63
Source : NVD — CVE-2026-119748
Analyse technique
Le traitement `process_invoice()` accepte l’identifiant transmis sans appliquer correctement les vérifications de propriété et de clé de `is_authorized_to_pay()`.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-04, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée. La version corrective 2.8.63 est indiquée dans la description fournie.
ImpactConsultation d’informations de facturation et modification non autorisée de l’état d’une facture.
Versions affectéesVersions antérieures à 2.8.63.
Version corrigée2.8.63
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-11-04T17:17:34.770Z
Mise à jour2026-11-04T21:17:56.110Z
Action recommandée
Mettre à jour GetPaid vers la version 2.8.63 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).