Плагин CryptoPayment Gateway для WordPress оказался уязвим к атакам, позволяющим выполнять административные операции без входа в систему. Ошибка CVE-2026-81648 получила максимальную оценку CVSS 10.0. Под угрозой версии 1.2.1 и 1.2.2; последняя из них — 1.2.2.
Проблема связана с проверкой прав в AJAX-обработчике. Из-за сбоя посторонний пользователь может вызвать операции, доступные администратору. Среди возможных последствий — удаление произвольных файлов на сервере и перезапись настроек платёжного шлюза.
Особенно опасен доступ к данным кошельков. Уязвимость может позволить извлечь сохранённые учётные данные в открытом виде, а также получить другие конфиденциальные сведения.
Компания Defused Cyber сообщила, что заметила попытки эксплуатации уязвимости в реальных атаках. В публикации в X компания указала: атаки шли с инфраструктуры, рекламировавшей себя как «VPS-хостинг без KYC от Anonymous».
По данным WP Scan, известных исправлений пока нет. По состоянию на 28 августа 2026 года плагин был закрыт в каталоге WordPress Plugin Directory и недоступен для загрузки. Причину указали расплывчато: «проблема безопасности».
Всего CryptoPayment Gateway скачивали 1 845 раз; 20 загрузок пришлись на семь дней перед закрытием. Неизвестно, установлен ли плагин сейчас на действующих сайтах WordPress, поэтому потенциально затронутых владельцев сайтов определить трудно.
Пока обновления нет, владельцам сайтов следует удалить плагин, сменить ключи кошельков и проверить сайт на подозрительные изменения. Если плагин использовался для обработки платежей, стоит также проверить настройки шлюза и связанные с ним данные доступа.
Изображение носит иллюстративный характер
Проблема связана с проверкой прав в AJAX-обработчике. Из-за сбоя посторонний пользователь может вызвать операции, доступные администратору. Среди возможных последствий — удаление произвольных файлов на сервере и перезапись настроек платёжного шлюза.
Особенно опасен доступ к данным кошельков. Уязвимость может позволить извлечь сохранённые учётные данные в открытом виде, а также получить другие конфиденциальные сведения.
Компания Defused Cyber сообщила, что заметила попытки эксплуатации уязвимости в реальных атаках. В публикации в X компания указала: атаки шли с инфраструктуры, рекламировавшей себя как «VPS-хостинг без KYC от Anonymous».
По данным WP Scan, известных исправлений пока нет. По состоянию на 28 августа 2026 года плагин был закрыт в каталоге WordPress Plugin Directory и недоступен для загрузки. Причину указали расплывчато: «проблема безопасности».
Всего CryptoPayment Gateway скачивали 1 845 раз; 20 загрузок пришлись на семь дней перед закрытием. Неизвестно, установлен ли плагин сейчас на действующих сайтах WordPress, поэтому потенциально затронутых владельцев сайтов определить трудно.
Пока обновления нет, владельцам сайтов следует удалить плагин, сменить ключи кошельков и проверить сайт на подозрительные изменения. Если плагин использовался для обработки платежей, стоит также проверить настройки шлюза и связанные с ним данные доступа.
