El equipo de investigación Defused Cyber ha emitido una alerta sobre intentos de explotación activa de una vulnerabilidad de máxima gravedad sin solución en el plugin CryptoPayment Gateway para WordPress. El fallo, identificado como CVE-2026-81648, tiene una puntuación CVSS de 10.0, el valor más alto posible.
De acuerdo con la descripción de la base de datos nacional de vulnerabilidades del NIST (NVD), las versiones 1.2.1 y 1.2.2 del plugin carecen de comprobación de autorización en uno de sus puntos de acceso AJAX. Esto permite que usuarios no autenticados ejecuten operaciones administrativas, como eliminar archivos arbitrarios del servidor, sobrescribir la configuración de la pasarela de pago y obtener las credenciales de cartera que se almacenan en texto claro.
Las versiones afectadas van desde la 1.2.1 hasta la 1.2.2, la más reciente publicada. Según WP Scan, no se conocen parches para esta vulnerabilidad. A fecha del 28 de agosto de 2026, el plugin ha sido retirado del Directorio de Plugins de WordPress y ya no puede descargarse debido a un «problema de seguridad» no especificado.
Las estadísticas indican que el plugin acumula 1.845 descargas en total, incluidas 20 en los últimos siete días. No está claro si permanece instalado y activo en algún sitio de WordPress.
Estamos observando intentos de explotación en entornos reales contra CVE-2026-81648, un fallo crítico (CVSS 10.0) en CryptoPayment Gateway para WordPress. Los ataques que registramos procedían de infraestructura que se promociona como «alojamiento VPS anónimo sin KYC».
Ante la ausencia de una corrección, se recomienda a los propietarios de sitios que desinstalen el plugin, renueven las claves de las carteras y auditen sus instalaciones en busca de cambios sospechosos.
Deja una respuesta