GetPaid · plugin de pagamentos e faturas
Um visitante sem login pode “comprar” pelo formulário de pagamento sem pagar e ter a fatura marcada como paga. Isso pode gerar entregas de produtos ou serviços sem receber.
Você mesmo
- Atualizar o GetPaid para a 2.8.65 ou mais recente (mesmo quem já tinha atualizado para a 2.8.63).
- Conferir em GetPaid > Faturas se há faturas pagas com valor menor que o esperado ou quantidades quebradas.
- Antes de entregar um pedido, confirmar no painel do gateway (PayPal, Stripe etc.) que o pagamento existe.
Seu dev ou hospedagem
- Procurar itens com quantity não inteira em wp_getpaid_invoice_items.
- No WAF, bloquear envios de formulário do GetPaid com quantidade decimal enquanto a atualização não é aplicada.
Detalhes técnicos: As versões 2.8.63 e 2.8.64 do GetPaid não validam se a quantidade de itens nos formulários de pagamento é um número inteiro. Com uma quantidade fracionada, um visitante sem login consegue que a fatura de um item pago seja marcada como paga sem pagamento (CVE-2026-123668, CVSS 5.3, WPScan, publicado em 09/11). A 2.8.63 era a versão que corrigia a falha anterior com quantidades negativas (CVE-2026-119749), então quem atualizou por causa dela precisa atualizar de novo. Corrigido na 2.8.65; prova de conceito prevista para 23/11. Não há exploração confirmada.