CVE-2026-119749 — GetPaid WordPress Plugin < 2.8.63 Negative Quantity Payment Bypass (CVSS 8.7)

Description

The GetPaid plugin for WordPress before 2.8.63 contains an improper input validation vulnerability that allows unauthenticated attackers to bypass payment processing by submitting a negative item quantity on a public payment form. Attackers can exploit the unchecked quantity value in process_item() to produce a negative line subtotal that reduces the invoice total to zero, causing process_free_payment() to mark the invoice as paid without any actual gateway charge.

Détail CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Prérequis d’attaque: Aucun
Privilèges requis: Aucun
Interaction: Aucune
Confidentialité: Aucun
Intégrité: Élevé
Disponibilité: Aucun
Confidentialité des autres systèmes: Aucun
Intégrité des autres systèmes: Aucun
Disponibilité des autres systèmes: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Payment forms, Buy now buttons, and Invoicing System \| GetPaid 2.8	premières → < 2.8.63	2.8.63

Les 3 CVE de Payment forms, Buy now buttons, and Invoicing System | GetPaid →

CVE-2026-119748 GetPaid WordPress Plugin < 2.8.63 Authorization Bypass via maybe_use_invoice 6.9 Moyenne CVE-2026-119747 GetPaid WordPress Plugin < 2.8.63 Incorrect Authorization via REST API 7.1 Élevée

CVE-2026-119749 GetPaid WordPress Plugin < 2.8.63 Negative Quantity Payment Bypass

Description

Détail CVSS 4.0

Produits et versions touchés

Autres CVE de Payment forms, Buy now buttons, and Invoicing System | GetPaid