CVE-2026-81648
CVSS 10 CRITICAL: the CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its… EPSS 0.5% (43º percentile).
Vulnerabilità ed exploit · Exploit zero-day
Defused Cyber ha osservato tentativi di sfruttamento della falla CVE-2026-81648 nel plugin CryptoPayment Gateway per WordPress. La vulnerabilità, presente nelle versioni 1.2.1 e 1.2.2, può esporre in chiaro le credenziali dei wallet salvate sul sito.
Un visitatore non autenticato può richiamare un endpoint AJAX che esegue operazioni amministrative senza verificare chi lo invoca. Può così leggere le credenziali, cancellare file o modificare la configurazione dei pagamenti. Il plugin è stato rimosso dalla directory WordPress e non è disponibile una versione corretta.
Rimuovere il plugin chiude quel percorso di accesso, ma non rende sicure le chiavi eventualmente già lette. Per i siti che conservano credenziali di wallet, la compromissione può quindi sopravvivere alla rimozione.
1 fonte · 3 ore fa
CVSS 10 CRITICAL: the CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its… EPSS 0.5% (43º percentile).
The Hacker News
Attackers Target Unpatched CryptoPayment Gateway Flaw That Can Expose Wallet Credentials
Attackers are attempting to exploit an unpatched CryptoPayment Gateway WordPress flaw that could expose wallet credentials and delete files.
originalePart of the PlainSec briefing for 2026-11-03
Every edition of this story: Le chiavi dei wallet restano esposte dopo la rimozione del plugin