GetPaid · plugin de pagamentos e faturas
Um visitante sem login pode “comprar” pelo formulário de pagamento sem pagar nada e ter a fatura marcada como paga, além de ver e mexer em faturas pendentes de outros clientes. Isso pode gerar entregas de produtos ou serviços sem pagamento.
Você mesmo
- Atualizar o GetPaid para a 2.8.63 ou mais recente (a 2.8.64 é a atual).
- Conferir em GetPaid > Faturas se há faturas pagas com total zero ou itens com quantidade negativa.
- Antes de entregar um pedido, confirmar no painel do gateway (PayPal, Stripe etc.) que o pagamento existe.
Seu dev ou hospedagem
- Procurar faturas suspeitas: itens com quantity < 0 nas tabelas do GetPaid (wp_getpaid_invoice_items).
- No WAF, bloquear envios de formulário do GetPaid com quantidade negativa enquanto a atualização não é aplicada.
- Revisar nos logs requisições com o parâmetro maybe_use_invoice.
Detalhes técnicos: Antes da 2.8.63, o GetPaid não valida a quantidade dos itens em formulários de pagamento públicos: um visitante sem login pode enviar quantidade negativa, zerar o total e fazer process_free_payment() marcar a fatura como paga sem cobrança (CVE-2026-119749, CVSS 7.5). Também sem login, o parâmetro maybe_use_invoice permite usar o ID de fatura de outra pessoa, ver o valor e iniciar o checkout, deixando a fatura “em espera” (CVE-2026-119748, CVSS 6.5). Uma terceira falha, que exige login, mapeia mal as permissões da REST API (CVE-2026-119747, CVSS 7.1). Sem relato de exploração ativa. Corrigido na 2.8.63.
Dados técnicos
CVE-2026-119749 · CVE-2026-119748 · CVE-2026-119747 · CVSS 7,5 · Fonte: VulnCheck