GetPaid WordPress-Plugin: Zahlungsumgehung über gebrochene Artikelmenge
Zusammenfassung
Das WordPress-Plugin GetPaid stellt auf seinen Zahlungsformularen und Buy-now-Buttons nicht sicher, dass Artikelmengen ganzzahlig sind. Ein nicht authentifizierter Angreifer kann eine gebrochene Menge übermitteln, sodass eine Rechnung für einen kostenpflichtigen Artikel als bezahlt markiert wird, ohne dass dafür belastet wird. Relevant ist die Schwachstelle nur auf Websites, auf denen ein öffentliches Zahlungsformular oder ein Buy-now-Button aktiv ist.
Betroffen
- GetPaid WordPress-Plugin (invoicing) 2.8.63 und 2.8.64
- CNA-Bereich: ab 2.8.63 vor 2.8.65; Versionen vor 2.8.63 sind von einem separaten Problem betroffen (CVE-2026-119749)
Behoben in
- Behoben in GetPaid 2.8.65 (Release-Notes des Herstellers, GitHub-Release 2.8.65)
Umgehung
- Kein Workaround des Herstellers gefunden. Das Update auf 2.8.65 ist die Behebung.
- Übergangsmassnahme (Vorschlag des Analysten, nicht vom Hersteller): Rechnungen prüfen, die als bezahlt markiert sind, aber keine passende Gateway-Transaktion haben, und öffentliche Formulare in den Bestelllogs auf gebrochene Mengen prüfen.
Ausnutzung
- Nicht im CISA KEV aufgeführt; CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Bisher kein öffentlicher Proof-of-Concept oder Exploit-Code gefunden (Stand 10. November 2026). Dies ist kein Beweis, dass keiner existiert.
Unsere Empfehlung
- Alle Websites ermitteln, auf denen GetPaid läuft.
- Websites mit Version 2.8.63 oder 2.8.64 sowie ältere Versionen so rasch wie möglich auf 2.8.65 aktualisieren.
- Die installierte Version im WordPress-Backend überprüfen, da die Angabe im wordpress.org-Verzeichnis veraltet sein kann.
- Kürzlich bezahlte Rechnungen auf Websites mit öffentlichen Zahlungsformularen oder Buy-now-Buttons prüfen.
- Hinweis: Der CVSS-Wert (5.3) erfasst das geschäftliche Risiko nicht, dass Waren oder Dienstleistungen unbezahlt ausgeliefert werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- CVE Record CVE-2026-123668 www.cve.org
- GitHub release 2.8.65 github.com
- GitHub pull request 982 github.com
- WordPress.org plugin listing wordpress.org
- GitHub readme github.com
- OffSeq radar entry radar.offseq.com
- Strix CVE entry CVE-2026-119749 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.