WordPress プラグイン GetPaid 2.8.63 未満で、数量にマイナスを入れて支払いを回避できる恐れ・低権限ユーザーが請求書を操作できる恐れ（CVE-2026-119749・119747）: 認証不要の側は CVSS v3.1 7.5、2.8.63 で修正

WordPress の請求・決済プラグイン GetPaid（Invoicing）2.8.63 より前について、脆弱性 2 件（CVE-2026-119749・CVE-2026-119747）が 2026-11-04 に NVD へ登録されました。登録元はどちらも VulnCheck で、NVD の状態は「Received」です。NVD 自身の分析は付いていません。

CVE-2026-119749: マイナスの数量で支払いを回避（認証不要）

• 公開の支払いフォームで、品目の数量にマイナスの値を送ると、process_item() が値を検査せずに受け付けます。
• 行の小計がマイナスになって請求書の合計が 0 に下がり、process_free_payment() が「無料の支払い」として請求書を支払い済みにします。決済サービスでの実際の課金は行われません。
• 攻撃に認証・利用者の操作は不要で、ネットワーク経由です。影響は主に完全性（支払いの改ざん）です。
• CVSS v3.1 は 7.5（HIGH、AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N）、CVSS v4.0 は 8.7（HIGH）です。どちらも NVD ではなく登録元（VulnCheck）の評価です。弱点の種類は CWE-1284（指定した量の不適切な検証）です。

CVE-2026-119747: 低権限ユーザーが請求書を操作（要ログイン）

• REST API の check_post_permissions()（includes/api/class-getpaid-rest-posts-controller.php）が、プラグイン独自の manage_invoicing 権限ではなく、WordPress の汎用の投稿権限に対応付けて判定しています。
• そのため、Editor・Author など権限の低いログイン済みユーザーが、ほかのユーザーの請求書の一覧取得、未払いの請求書を決済記録なしで支払い済みにする操作、公開済みの品目や新しい請求書の作成を行える恐れがあります。
• CVSS v3.1 は 7.1（HIGH、AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N）、CVSS v4.0 も 7.1 です。登録元は VulnCheck で、弱点の種類は CWE-863（不適切な認可）です。
• 要ログイン（PR:L）のため、severity を決める際は critical にしません。

severity

• 2 件とも CVSS v3.1 は 9 未満です。119749 は認証不要ですが 7.5 のため、記事全体の severity は high とします。
• EPSS は未算出、CISA の KEV には掲載がありません（本記事の作成時点）。

影響を受ける版と修正

• どちらも GetPaid（WordPress プラグイン、スラッグ invoicing）の 2.8.63 より前が影響を受けます。
• 修正版は 2.8.63 とされています（NVD の記述にもとづく整理です）。修正の具体的な中身は、本記事では確認できていません。

対策

• GetPaid を 2.8.63 以降に更新する。
• 更新までの間に考えられる対応（公式の指示ではありません）:
  • 公開の支払いフォームを一時的に止める、または支払い済みになった請求書を決済サービス側の入金記録と突き合わせる。
  • 決済サービスの入金がないのに、請求書が「支払い済み」になっていないか確認する。
  • Editor・Author など低権限のアカウントを見直し、REST API での請求書の一覧取得・作成のログを確認する。

未確認の点

• 悪用の有無と、攻撃コードの公開状況。
• VulnCheck の勧告 2 件の本文（本記事では NVD の記載を確認した範囲で整理しています）。
• 2.8.63 の修正の具体的な内容と、回避策の有無。
• EPSS、NVD の最終評価。

出典

• NVD: CVE-2026-119749
• NVD: CVE-2026-119747
• VulnCheck の勧告（NVD の参照先）: getpaid-wordpress-plugin-negative-quantity-payment-bypass
• VulnCheck の勧告（NVD の参照先）: getpaid-wordpress-plugin-incorrect-authorization-via-rest-api
• WordPress.org プラグインページ（Invoicing）の変更履歴