Defused Cyber ha observado intentos de explotación de CVE-2026-81648, un fallo crítico del plugin CryptoPayment Gateway para WordPress. Una explotación exitosa podía permitir a un visitante no autenticado invocar funciones administrativas, borrar archivos, cambiar la configuración del gateway y recuperar credenciales de carteras almacenadas en claro. Las versiones 1.2.1 y 1.2.2 están afectadas, no consta una versión corregida y el plugin fue retirado del directorio oficial.
La ficha rápida
Severidad: crítica, CVSS 10.0.
Productos afectados: CryptoPayment Gateway para WordPress, versiones 1.2.1 y 1.2.2, incluida la última versión conocida.
Estado del parche: no hay versión corregida conocida; el plugin está cerrado en el directorio de WordPress.org.
Explotación activa: se han observado intentos en la naturaleza; no hay confirmación pública de que esos intentos hayan comprometido sitios o causado robo de activos digitales.
Acción recomendada: retirar el plugin, crear una cartera nueva y transferir los activos si se expusieron claves privadas o semillas, revocar y regenerar tokens del proveedor cuando proceda, y revisar el sitio y los registros antes de volver a operar.
Qué clase de fallo es
El aviso de GitHub describe una ausencia de comprobación de autorización en uno de los endpoints AJAX del plugin. En vez de limitar la operación a un usuario con permisos, la función podía ser invocada sin autenticación y alcanzar acciones reservadas a la administración.
El resultado potencial combina tres impactos: borrar archivos del servidor, modificar la configuración del gateway y recuperar credenciales de cartera almacenadas en texto claro. No hace falta que los tres se produzcan en cada caso. El riesgo real depende de si el plugin está instalado, de cómo se guardan las claves y de los permisos que tenga el proceso de WordPress.