Atacantes estão tentando explorar a CVE-2026-81648, uma vulnerabilidade de gravidade máxima no plugin CryptoPayment Gateway para WordPress, de acordo com as descobertas da Defused Cyber. A falha tem pontuação CVSS de 10,0 e pode permitir que usuários não autenticados excluam arquivos do servidor e obtenham dados confidenciais, incluindo credenciais de carteiras armazenadas.
O National Vulnerability Database informa que as versões 1.2.1 a 1.2.2 não têm uma verificação de autorização em um endpoint AJAX. Isso poderia permitir que usuários não autenticados realizassem ações administrativas, incluindo excluir arquivos arbitrários, alterar configurações do gateway de pagamento e recuperar credenciais de carteiras armazenadas em texto simples.
A vulnerabilidade afeta as versões 1.2.1 e 1.2.2, sendo esta última a versão mais recente listada do plugin. O WP Scan informa que não há correção conhecida. O plugin foi removido do Diretório de Plugins do WordPress em 28 de agosto de 2026, devido a um problema de segurança não especificado.
A Defused Cyber afirmou ter observado tentativas de exploração no mundo real, originadas de uma infraestrutura anunciada como “Hospedagem VPS sem KYC anônima”. O plugin registrou 1.845 downloads no total, incluindo 20 nos sete dias mencionados no relatório; não está claro se ele ainda permanece instalado em algum site WordPress.
Como não há correção disponível, recomenda-se que os proprietários de sites removam o plugin, troquem as chaves das carteiras e verifiquem se houve alterações suspeitas.
Fontes: The Hacker News.