Atores de ameaça estão tentando explorar uma vulnerabilidade de segurança não corrigida de gravidade máxima no plugin CryptoPayment Gateway do WordPress, de acordo com descobertas da Defused Cyber. A vulnerabilidade em questão é CVE-2026-81648, que possui um CVSS de 10,0. A exploração bem-sucedida da falha pode permitir que usuários não autenticados excluam arquivos arbitrários no servidor e extraiam credenciais de carteira.
Detalhes Técnicos
CVE-2026-81648: CVSS 10,0 (CRÍTICO), publicado em 2026-09-13T20:06:35.224Z
O plugin CryptoPayment Gateway do WordPress, das versões 1.2.1 a 1.2.2, não aplica uma verificação de autorização em um de seus endpoints AJAX, permitindo que usuários não autenticados invoquem operações administrativas.
As operações incluem a exclusão de arquivos arbitrários no servidor, a sobrescrita da configuração do gateway de pagamento e a recuperação de credenciais de carteira armazenadas em texto puro.
Recomendações
Atualizar imediatamente o plugin CryptoPayment Gateway do WordPress para uma versão corrigida.
Verificar se há atividades suspeitas no servidor que possam indicar exploração da vulnerabilidade.
Implementar medidas de segurança adicionais, como autenticação multifator e monitoramento de logs, para proteger contra futuras ameaças.
