Hackers exploram falha avaliação CVSS 10.0 em plugin WordPress que expõe credenciais de carteiras digitais

Uma vulnerabilidade avaliação no plugin CryptoPayment Gateway pra WordPress está sendo alvo de tentativas de exploracao por hackers. A falha, identificada como CVE-2026-81648, recebeu nota maxima de 10.0 na escala CVSS e pode possibilitar que invasores nao autenticados acessem credenciais de carteiras de criptomoedas, modifiquem configuracoes de pagamento e excluam arquivos do servidor.A atividade maliciosa foi identificada pela companhia de segurança Defused Cyber, que registrou tentativas de exp Uma vulnerabilidade avaliação no plugin CryptoPayment Gateway pra WordPress está sendo alvo de tentativas de exploracao por hackers. A falha, identificada como CVE-2026-81648, recebeu nota maxima de 10.0 na escala CVSS e pode possibilitar que invasores nao autenticados acessem credenciais de carteiras de criptomoedas, modifiquem configuracoes de pagamento e excluam arquivos do servidor.

A atividade maliciosa foi identificada pela companhia de segurança Defused Cyber, que registrou tentativas de exploracao da vulnerabilidade em cenarios reais. O problema impacta as edições 1.2.1 e 1.2.2 do CryptoPayment Gateway, sendo esta última a edição mais recente disponibilizada. De acordo com o WPScan, ainda nao existe uma correção conhecida pra a falha.

Segundo a descrição publicada no National Vulnerability Database (NVD), mantido pelo NIST, a vulnerabilidade acontece por causa da ausência de verificação de autorização em um dos endpoints AJAX do plugin. Essa deficiência possibilita que usuários nao autenticados executem operações administrativas que deveriam estar restritas a usuários autorizados. Entre as acoes possiveis estao a exclusão arbitrária de arquivos no servidor, a substituição das configuracoes do gateway de pagamento e a recuperação de credenciais de carteiras digitais armazenadas em texto claro, sem proteção criptográfica.

A exploracao pode comprometer tanto a integridade dos sites impactados acerca de segurança das informacoes utilizadas pra processar pagamentos em criptomoedas. Em 28 de agosto de 2026, o CryptoPayment Gateway foi removido do diretório oficial de plugins do WordPress devido a um problema de segurança nao especificado. Apesar da remoção, instalações existentes podem seguir executando edições vulneráveis.

As estatísticas disponiveis apontam que o plugin farmou 1.845 downloads, incluindo 20 realizados nos últimos sete dias. Contudo, nao está claro quantos sites WordPress ainda utilizam a ferramenta. A ausência de uma atualizacao de segurança amplia a