Атакуващи се опитват да експлоатират некоригирана уязвимост за сигурност с максимална степен на сериозност в плъгина за WordPress CryptoPayment Gateway, показват данни на Defused Cyber.
Въпросната уязвимост е CVE-2026-81648, която е с оценка по CVSS от 10.0. Успешното експлоатиране на пропуска може да позволи на неудостоверени потребители да изтриват произволни файлове на сървъра и да извличат чувствителни данни, включително съхранени идентификационни данни за криптопортфейли.
„Плъгинът за WordPress CryptoPayment Gateway от версия 1.2.1 до 1.2.2 не прилага проверка за оторизация на една от своите AJAX крайни точки, което позволява на неудостоверени потребители да извикват административни операции, включително изтриване на произволни файлове на сървъра, презаписване на конфигурацията на платежния шлюз и възстановяване на съхранените идентификационни данни за портфейли в чист текст“, се казва в описанието на уязвимостта в Националната база данни за уязвимости (NVD) на NIST.
Уязвимостта засяга версии от 1.2.1 до 1.2.2, която е и последната налична версия. Според WP Scan няма известни корекции за сигурност за този проблем. Към 28 август 2026 г. плъгинът е премахнат от директорията с плъгини на WordPress и вече не е достъпен за изтегляне поради неуточнен „проблем със сигурността“.
Статистиката показва, че плъгинът е изтеглен общо 1,845 пъти, включително 20 изтегляния през последните седем дни. Не е ясно дали в момента е активно инсталиран на уебсайтове, базирани на WordPress.
„Наблюдаваме реални опити за експлоатиране на CVE-2026-81648 – критична (CVSS 10.0) уязвимост в CryptoPayment Gateway за WordPress“, посочват от Defused Cyber в публикация в X. „Атаките, които регистрирахме, идват от инфраструктура, която се рекламира като „Анонимен VPS хостинг без изискване за KYC проверка“.“
При липсата на корекция за сигурност, собствениците на сайтове се съветват да премахнат плъгина, да подновят ключовете за своите портфейли и да извършат одит за подозрителни промени.