Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin GetPaid applique des contrôles d’autorisation inadéquats à certaines opérations de son API REST. Des utilisateurs authentifiés de moindre privilège peuvent notamment consulter des factures d’autres utilisateurs, marquer des factures comme payées ou créer des éléments publiés et des factures.
WordPress
IdentifiantCVE-2026-119747
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.8.63
Source : NVD — CVE-2026-119747
Analyse technique
`check_post_permissions()` associe les opérations REST à des capacités WordPress génériques au lieu d’exiger l’autorisation `manage_invoicing` du plugin.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-04, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée. La version corrective 2.8.63 est indiquée dans la description fournie.
ImpactAccès ou modification non autorisés de factures et création de contenus ou de factures par des utilisateurs insuffisamment autorisés.
Versions affectéesVersions antérieures à 2.8.63.
Version corrigée2.8.63
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-04T17:17:34.607Z
Mise à jour2026-11-04T21:17:55.970Z
Action recommandée
Mettre à jour GetPaid vers la version 2.8.63 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).