Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin GetPaid ne valide pas correctement la quantité d’un article sur un formulaire de paiement public. Un attaquant non authentifié peut soumettre une quantité négative afin de réduire le total à zéro et faire enregistrer la facture comme payée sans transaction réelle.
WordPress
IdentifiantCVE-2026-119749
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.8.63
Source : NVD — CVE-2026-119749
Analyse technique
`process_item()` accepte une quantité négative, ce qui peut produire un sous-total négatif et déclencher le traitement d’un paiement gratuit.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-04, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée. La version corrective 2.8.63 est indiquée dans la description fournie.
ImpactUne facture peut être marquée payée sans paiement réel.
Versions affectéesVersions antérieures à 2.8.63.
Version corrigée2.8.63
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-04T17:17:34.930Z
Mise à jour2026-11-04T21:17:56.257Z
Action recommandée
Mettre à jour GetPaid vers la version 2.8.63 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).