CryptoPayment Gateway · gateway de pagamento em criptomoedas
Qualquer visitante, sem login, consegue apagar arquivos do site, trocar a configuração de pagamento e ver as credenciais das carteiras de criptomoedas ligadas à loja. Não existe correção e já há tentativas de ataque.
Você mesmo
- Desativar e remover o plugin CryptoPayment Gateway: não há versão corrigida e ele foi retirado do wordpress.org.
- Trocar as chaves e credenciais das carteiras de criptomoedas que estavam configuradas no plugin.
- Conferir se as configurações de pagamento e os endereços de carteira da loja não foram alterados.
- Conferir administradores em Usuários e perguntar à hospedagem se há arquivos apagados ou alterados.
Seu dev ou hospedagem
- Bloquear no WAF as chamadas a admin-ajax.php com as ações do plugin vindas de visitantes não autenticados enquanto o plugin não for removido.
- Procurar nos logs de acesso POSTs para admin-ajax.php ligados ao plugin vindos de IPs desconhecidos (a Defused Cyber cita infraestrutura de 'Anonymous KYC-Free VPS Hosting').
- Conferir a integridade de wp-config.php e de outros arquivos críticos e restaurar de backup se algo tiver sido apagado.
- Rotacionar segredos guardados nas opções do plugin no banco.
Detalhes técnicos: Um endpoint AJAX do plugin CryptoPayment Gateway não verifica autorização, permitindo que visitantes sem login executem operações administrativas: apagar arquivos arbitrários do servidor, sobrescrever a configuração do gateway e recuperar em texto puro as credenciais de carteiras salvas. Afeta as versões 1.2.1 a 1.2.2 (a mais recente) e não há correção; o plugin foi fechado no diretório do wordpress.org em 28/08/2026. A Defused Cyber registrou tentativas de exploração ativa. CVSS 10.0.
Dados técnicos
CVE-2026-81648 · CVSS 10,0 · Fonte: The Hacker News