CVE-2026-81648
CVSS 10 CRITICAL: the CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its… EPSS 0.5% (43º percentile).
Vulnerabilità · 2 ore fa
Defused Cyber ha osservato tentativi di sfruttamento della falla CVE-2026-81648 nel plugin CryptoPayment Gateway per WordPress. La vulnerabilità, presente nelle versioni 1.2.1 e 1.2.2, può esporre in chiaro le credenziali dei wallet salvate sul sito.
Un visitatore non autenticato può richiamare un endpoint AJAX che esegue operazioni amministrative senza verificare chi lo invoca. Può così leggere le credenziali, cancellare file o modificare la configurazione dei pagamenti. Il plugin è stato rimosso dalla directory WordPress e non è disponibile una versione corretta.
Rimuovere il plugin chiude quel percorso di accesso, ma non rende sicure le chiavi eventualmente già lette. Per i siti che conservano credenziali di wallet, la compromissione può quindi sopravvivere alla rimozione.
CVSS 10 CRITICAL: the CryptoPayment Gateway WordPress plugin from 1.2.1 to 1.2.2 does not apply an authorization check on one of its… EPSS 0.5% (43º percentile).
1 fonte che coprono questa storia
Attackers Target Unpatched CryptoPayment Gateway Flaw That Can Expose Wallet Credentials
Attackers are attempting to exploit an unpatched CryptoPayment Gateway WordPress flaw that could expose wallet credentials and delete files.
Part of the PlainSec briefing for 2026-11-03