Defused Cyber ka zbuluar tentativa shfrytëzimi të një dobësie të pakorrigjuar në shtojcën CryptoPayment Gateway për WordPress. Dobësia CVE-2026-81648 ka vlerësimin maksimal CVSS 10.0 dhe prek versionet 1.2.1–1.2.2, ky i fundit më i riu i disponueshëm.
Sipas bazës NVD të NIST, një pikë fundore AJAX nuk kontrollon autorizimin, duke u lejuar përdoruesve të paautentikuar të kryejnë veprime administrative. Ata mund të fshijnë skedarë arbitrarë në server, të mbishkruajnë konfigurimin e pagesave dhe të nxjerrin kredencialet e ruajtura të kuletave në tekst të lexueshëm.
WP Scan njofton se nuk ka korrigjim të njohur. Më 28 gusht 2026, shtojca figuron e mbyllur në WordPress Plugin Directory dhe nuk mund të shkarkohet për shkak të një «problemi sigurie» të paspecifikuar. Ajo është shkarkuar gjithsej 1,845 herë, përfshirë 20 herë gjatë shtatë ditëve të fundit; nuk dihet nëse përdoret aktivisht në ndonjë faqe WordPress.
Defused Cyber tha se tentativat e regjistruara vinin nga infrastrukturë që reklamohet si «Anonymous KYC-Free VPS Hosting». Në mungesë të një korrigjimi, pronarët e faqeve këshillohen ta heqin shtojcën, të zëvendësojnë çelësat e kuletave dhe të kontrollojnë për ndryshime të dyshimta.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
