CVE-2026-81648: Accesso admin senza auth in WordPress

CVE-2026-81648 interessa il plugin CryptoPayment Gateway per WordPress nelle versioni 1.2.1 e 1.2.2. La vulnerabilità consiste nell'assenza di un controllo di autorizzazione su uno degli endpoint AJAX del plugin, che consente a utenti non autenticati di invocare operazioni amministrative. Questo riguarda direttamente milioni di siti WordPress che utilizzano questo plugin per elaborare pagamenti in criptovalute.

Il punteggio CVSS 10,0 riflette la criticità massima: la falla permette l'eliminazione di file arbitrari dal server, la modifica della configurazione del payment gateway e il recupero in chiaro delle credenziali del portafoglio. Segnali su social (non verificati) riportano tentativi di sfruttamento in corso dal 2 novembre 2026, anche se i dati ufficiali NVD del 13 settembre non confermano ancora exploitation diffusa. L'assenza di repository GitHub pubblici con exploit non esclude il rischio attuale.

Le amministrazioni WordPress devono aggiornare il plugin CryptoPayment Gateway al di là della versione 1.2.2 (versione fix non ancora riportata ufficialmente nei dati NVD). Nel frattempo: revisionate immediatamente i log di accesso AJAX, controllate integrità e proprietà dei file critici, forzate un cambio di tutte le credenziali di portafoglio memorizzate. Se il plugin non è essenziale, disabilitatelo fino a patch ufficiale verificata.