→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-119749 · invoicing
نقص اعتبارسنجی ورودی و دور زدن پرداخت در افزونه GetPaid (invoicing)
افزونه GetPaid (invoicing) برای وردپرس در نسخه‌های 2.8.63 و پایین‌تر دچار نقص اعتبارسنجی ورودی است که به مهاجم احرازهویت‌نشده اجازه می‌دهد از طریق فرم پرداخت عمومی، با ارسال تعداد منفی برای یک قلم، جمع فاکتور را به صفر برساند. در نتیجه فاکتور بدون دریافت واقعی وجه از درگاه، به‌عنوان پرداخت‌شده ثبت می‌شود و فرآیند پرداخت دور زده می‌شود. وصله رسمی تاکنون منتشر نشده است؛ افزونه را موقتاً غیرفعال کنید یا دسترسی به فرم پرداخت را با فایروال وب (WAF) محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.8.63
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته invoicing را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.