Des attaquants tentent d’exploiter CVE-2026-81648, une vulnérabilité de gravité maximale dans le plugin CryptoPayment Gateway pour WordPress, selon les conclusions de Defused Cyber. La faille a un score CVSS de 10,0 et pourrait permettre à des utilisateurs non authentifiés de supprimer des fichiers du serveur et de récupérer des données sensibles, notamment des identifiants de portefeuille enregistrés.
La National Vulnerability Database indique que les versions 1.2.1 à 1.2.2 ne comportent pas de contrôle d’autorisation sur un point de terminaison AJAX. Cela pourrait permettre à des utilisateurs non authentifiés d’effectuer des actions administratives, notamment de supprimer des fichiers arbitraires, de modifier les paramètres de la passerelle de paiement et de récupérer des identifiants de portefeuille stockés en texte clair.
La vulnérabilité affecte les versions 1.2.1 et 1.2.2, cette dernière étant répertoriée comme la version la plus récente du plugin. WP Scan indique qu’aucun correctif n’est connu. Le plugin a été retiré du répertoire des extensions WordPress le 28 août 2026, en raison d’un problème de sécurité non précisé.
Defused Cyber a déclaré avoir observé des tentatives d’exploitation dans la nature, provenant d’une infrastructure présentée comme un « hébergement VPS anonyme sans vérification KYC ». Le plugin a enregistré 1 845 téléchargements au total, dont 20 au cours des sept jours mentionnés dans le rapport ; on ignore s’il est encore installé sur des sites WordPress.
En l’absence de correctif, il est conseillé aux propriétaires de sites de supprimer le plugin, de renouveler les clés de portefeuille et de rechercher d’éventuelles modifications suspectes.
Sources: The Hacker News.