Defused Cyber зафиксировала попытки эксплуатации уязвимости CVE-2026-81648 в плагине CryptoPayment Gateway, которая получила 10 баллов из 10 по шкале CVSS 3.1. Под угрозой находятся версии 1.2.1 и 1.2.2, при этом исправления пока нет, а последняя версия остаётся самой новой.
Причина уязвимости кроется в отсутствии проверки прав доступа в одном из AJAX-обработчиков плагина. Из-за этого посторонний пользователь без входа в учётную запись может удалять файлы сервера, менять платёжные настройки и извлекать данные криптокошельков в открытом виде.
Поскольку патча нет, владельцам сайтов рекомендуют удалить плагин и заменить ключи и другие секреты кошельков. После этого стоит проверить настройки платежей и файлы сервера, так как обычное обновление WordPress ошибку внутри дополнения не устранит.
