---
title: "WordPress プラグイン GetPaid 2.8.63 未満で、数量にマイナスを入れて支払いを回避できる恐れ・低権限ユーザーが請求書を操作できる恐れ（CVE-2026-119749・119747）: 認証不要の側は CVSS v3.1 7.5、2.8.63 で修正"
url: https://n-t-p.io/worldsecurity/articles/getpaid-wordpress-cve-2026-119749-119747-negative-quantity-payment-bypass-rest-authz
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-119749, CVE-2026-119747
---

# WordPress プラグイン GetPaid 2.8.63 未満で、数量にマイナスを入れて支払いを回避できる恐れ・低権限ユーザーが請求書を操作できる恐れ（CVE-2026-119749・119747）: 認証不要の側は CVSS v3.1 7.5、2.8.63 で修正

> **TL;DR:** WordPress プラグイン GetPaid 2.8.63 未満で、公開の支払いフォームにマイナスの数量を送ると請求書が決済なしで支払い済みになる恐れ（CVE-2026-119749、認証不要、CVSS v3.1 7.5）と、低権限のログイン済みユーザーが REST API で請求書を操作できる恐れ（CVE-2026-119747、v3.1 7.1）。2.8.63 で修正。

**要点**
- 公開の支払いフォームで数量にマイナスを入れると、合計が 0 になり決済なしで支払い済みになる恐れ（CVE-2026-119749、認証不要）。
- REST API の権限判定が汎用の投稿権限に対応付けられ、Editor・Author などが他人の請求書の一覧取得や支払い済みへの変更をできる恐れ（CVE-2026-119747、要ログイン）。
- CVSS v3.1 は 7.5 と 7.1。認証不要でも 9 未満のため severity は high。2.8.63 で修正。
- 悪用の有無と、VulnCheck の勧告の本文は未確認。

WordPress の請求・決済プラグイン GetPaid（Invoicing）2.8.63 より前について、脆弱性 2 件（CVE-2026-119749・CVE-2026-119747）が 2026-11-04 に NVD へ登録されました。登録元はどちらも VulnCheck で、NVD の状態は「Received」です。NVD 自身の分析は付いていません。

## CVE-2026-119749: マイナスの数量で支払いを回避（認証不要）
- 公開の支払いフォームで、品目の数量にマイナスの値を送ると、process_item() が値を検査せずに受け付けます。
- 行の小計がマイナスになって請求書の合計が 0 に下がり、process_free_payment() が「無料の支払い」として請求書を支払い済みにします。決済サービスでの実際の課金は行われません。
- 攻撃に認証・利用者の操作は不要で、ネットワーク経由です。影響は主に完全性（支払いの改ざん）です。
- CVSS v3.1 は 7.5（HIGH、AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N）、CVSS v4.0 は 8.7（HIGH）です。どちらも NVD ではなく登録元（VulnCheck）の評価です。弱点の種類は CWE-1284（指定した量の不適切な検証）です。

## CVE-2026-119747: 低権限ユーザーが請求書を操作（要ログイン）
- REST API の check_post_permissions()（includes/api/class-getpaid-rest-posts-controller.php）が、プラグイン独自の manage_invoicing 権限ではなく、WordPress の汎用の投稿権限に対応付けて判定しています。
- そのため、Editor・Author など権限の低いログイン済みユーザーが、ほかのユーザーの請求書の一覧取得、未払いの請求書を決済記録なしで支払い済みにする操作、公開済みの品目や新しい請求書の作成を行える恐れがあります。
- CVSS v3.1 は 7.1（HIGH、AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N）、CVSS v4.0 も 7.1 です。登録元は VulnCheck で、弱点の種類は CWE-863（不適切な認可）です。
- 要ログイン（PR:L）のため、severity を決める際は critical にしません。

## severity
- 2 件とも CVSS v3.1 は 9 未満です。119749 は認証不要ですが 7.5 のため、記事全体の severity は high とします。
- EPSS は未算出、CISA の KEV には掲載がありません（本記事の作成時点）。

## 影響を受ける版と修正
- どちらも GetPaid（WordPress プラグイン、スラッグ invoicing）の 2.8.63 より前が影響を受けます。
- 修正版は 2.8.63 とされています（NVD の記述にもとづく整理です）。修正の具体的な中身は、本記事では確認できていません。

## 対策
- GetPaid を 2.8.63 以降に更新する。
- 更新までの間に考えられる対応（公式の指示ではありません）:
  - 公開の支払いフォームを一時的に止める、または支払い済みになった請求書を決済サービス側の入金記録と突き合わせる。
  - 決済サービスの入金がないのに、請求書が「支払い済み」になっていないか確認する。
  - Editor・Author など低権限のアカウントを見直し、REST API での請求書の一覧取得・作成のログを確認する。

## 未確認の点
- 悪用の有無と、攻撃コードの公開状況。
- VulnCheck の勧告 2 件の本文（本記事では NVD の記載を確認した範囲で整理しています）。
- 2.8.63 の修正の具体的な内容と、回避策の有無。
- EPSS、NVD の最終評価。

## 出典
- NVD: CVE-2026-119749
- NVD: CVE-2026-119747
- VulnCheck の勧告（NVD の参照先）: getpaid-wordpress-plugin-negative-quantity-payment-bypass
- VulnCheck の勧告（NVD の参照先）: getpaid-wordpress-plugin-incorrect-authorization-via-rest-api
- WordPress.org プラグインページ（Invoicing）の変更履歴


## 出典
- [NVD CVE-2026-119749](https://nvd.nist.gov/vuln/detail/CVE-2026-119749) — NIST NVD
- [NVD CVE-2026-119747](https://nvd.nist.gov/vuln/detail/CVE-2026-119747) — NIST NVD
- [VulnCheck 勧告（マイナス数量による支払い回避。NVD の参照先）](https://www.vulncheck.com/advisories/getpaid-wordpress-plugin-negative-quantity-payment-bypass) — VulnCheck
- [VulnCheck 勧告（REST API の認可不備。NVD の参照先）](https://www.vulncheck.com/advisories/getpaid-wordpress-plugin-incorrect-authorization-via-rest-api) — VulnCheck
- [WordPress.org Invoicing プラグイン（NVD の参照先）](https://wordpress.org/plugins/invoicing/#developers) — WordPress.org

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/getpaid-wordpress-cve-2026-119749-119747-negative-quantity-payment-bypass-rest-authz