→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-119747 · invoicing
مجوزدهی نادرست (Incorrect Authorization) در افزونه GetPaid (Invoicing) وردپرس
متد check_post_permissions() در کنترلر REST افزونه GetPaid، عملیات را به قابلیت‌های عمومی نوشته‌های وردپرس نگاشت می‌کند و مجوز اختصاصی manage_invoicing را اعمال نمی‌کند. به همین دلیل کاربر واردشده با نقش‌های کم‌امتیاز مانند ویرایشگر یا نویسنده می‌تواند فاکتورهای دیگران را ببیند، فاکتورهای در انتظار را بدون ثبت تراکنش پرداخت به‌عنوان پرداخت‌شده علامت بزند، یا آیتم و فاکتور جدید منتشر کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی مربوط را با فایروال برنامه وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.8.63
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته invoicing را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.