Злоумышленники пытаются использовать неустраненную уязвимость безопасности максимальной степени критичности в плагине CryptoPayment Gateway для WordPress, согласно данным Defused Cyber. Уязвимость, известная как CVE-2026-81648, имеет наивысший балл по шкале CVSS — 10.0. Успешная эксплуатация этой уязвимости может позволить неаутентифицированным пользователям удалять произвольные файлы на сервере и извлекать конфиденциальные данные, включая учетные данные кошелька.
В плагине CryptoPayment Gateway для WordPress версий от 1.2.1 до 1.2.2 отсутствует проверка авторизации на одном из его AJAX-эндпоинтов. Это позволяет неаутентифицированным пользователям выполнять административные операции, такие как удаление произвольных файлов на сервере, перезапись конфигурации платежного шлюза и восстановление сохраненных учетных данных кошелька в открытом виде, согласно описанию уязвимости в базе данных NIST National Vulnerability Database (NVD).
Уязвимость затрагивает версии с 1.2.1 по 1.2.2, которая является последней. Исправления для данной уязвимости отсутствуют, как сообщает WP Scan. По состоянию на 28 августа 2026 года плагин был удален из каталога плагинов WordPress и больше не доступен для загрузки по неуказанной «проблеме безопасности».
По статистике, плагин был загружен в общей сложности 1845 раз, включая 20 загрузок за последние семь дней. Неясно, установлен ли он активно на каких-либо сайтах WordPress.
«Мы наблюдаем попытки эксплуатации CVE-2026-81648 в реальных условиях — критической (CVSS 10.0) уязвимости в CryptoPayment Gateway для WordPress», — заявили в Defused Cyber в посте на X. «Атаки, которые мы зафиксировали, исходили от инфраструктуры, позиционирующей себя как «Анонимный хостинг VPS без KYC».
В отсутствие исправления владельцам сайтов рекомендуется удалить плагин, сменить ключи кошелька и проверить наличие любых подозрительных изменений.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
